← España

PS-00137-2024

1/31  Expediente N.º: EXP202401031 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, A.A.A.) con fecha 28 de diciembre de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a UNIVERSITAS NEBRISSENSIS, S.A. con NIF A78094158 (en adelante, UNIVERSITAS NEBRISSENSIS o parte reclamada). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: A.A.A. manifiesta que durante el trámite para expedir un título oficial de un Master cursado en UNIVERSITAS NEBRISSENSIS, ésta le ha solicitado la remisión de copia completa de su DNI. A.A.A. le remitió el DNI pixelando los datos que consideraba que no eran necesarios, a lo que la Universidad le respondió solicitando el DNI completo, pues de lo contrario la tramitación quedará incompleta. Asimismo, solicitó conocer qué datos en concreto eran los necesarios para el trámite, manifestando no obtener contestación a dicha petición. Entiende que, conforme al principio de minimización de datos, no cabe remitir copia del documento en su totalidad, sino únicamente la información imprescindible exigida por la normativa aplicable a la expedición de dicho tipo de títulos. Señala que, tras mantener un intercambio de correos con la Universidad sobre la petición de dicho documento de identidad, en fecha 21 de diciembre de 2023, le remitieron escrito emitido por la Asesoría Jurídica de la Universidad en el que amparaban su petición en el Real Decreto 1002/2010, de 5 de agosto, sobre expedición de títulos universitarios oficiales, si bien considera que el citado Real Decreto no exige el envío del DNI completo, ni tampoco exige presentar todos los datos adicionales del DNI, sino el nombre y apellidos del titular, su lugar de nacimiento y su nacionalidad, por lo que entiende que esta petición contraviene la normativa de protección de datos. Junto al escrito se aporta: - Copia del correo electrónico de fecha 27 de noviembre de 2023 enviado por A.A.A. donde remite la documentación solicitada para la expedición del título, así como el DNI pixelado, y respuesta de fecha 4 de diciembre de 2023 de UNIVERSITAS NEBRISSENSIS con el siguiente contenido: “El DNI es un documento de carácter obligatorio a la hora de tramitar un título oficial con el ministerio de educación, por tanto si es de Nacionalidad española, es necesario que adjunte su DNI completo para que podamos tramitar, de no ser así, habrá datos que no podremos completar y su tramitación quedara C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/31 incompleta. Entiendo su tratamiento de datos de carácter personal, pero la tramitación de un título oficial, es de carácter personal con cada alumno y por ello deben enviarse los documentos tal cual nos indican” (sic). Dicho correo respondía a uno previo de 23/11/2023, remitido por la parte reclamada al reclamante Estimado/a alumno/a, En relación a tu solicitud de Título, informarte de que deberás abonar la cantidad de 224€ Título de Grado ó 311€ Título de Máster. Para poder llevar a cabo el pago debe seguir los siguientes pasos: Acceda a su PORTAL DE SERVICIOS https://academico.nebrija.es/ServiciosApp/faces/inicioServicios Apartado Datos económicos – Pago de Recibos – Otros pagos. (…) A continuación, deberás adjuntar (como archivos adjuntos) dando a responder a ESTE MENSAJE: - El justificante del pago. - Copia del DNI (con nacionalidad española) o Pasaporte/NIE (sin nacionalidad española) En un plazo máximo de una semana podrá descargar de su portal de servicios el pago de tasas. Dicho documento será válido para certificar la solicitud y pago de tasas de expedición de su Título Universitario. - Indicar nombre y apellidos completo (con acentos) y localidad y provincia de nacimiento - Copia del correo electrónico de fecha 4 de diciembre de 2023, enviado por A.A.A. solicitando conocer en concreto los datos del DNI necesarios para la expedición del título. - Copia del correo electrónico de fecha 5 de diciembre de 2023, enviado por UNIVERSITAS NEBRISSENSIS a A.A.A. con el siguiente contenido: “Es necesitarlo el Documento oficial de identidad completo, es un requisito indispensable para tramitar un título oficial personal con el Ministerio de Educación, de no disponer de tu documento en vigor a la hora de tramitar el título, no podemos hacerlo. Recordar que cuando iniciáis el programa, firmáis la ley de protección de datos, por el cual, debéis enviar la documentación y la universidad se compromete a su custodia, pues se tratan de procesos oficiales ligados a ministerios oficiales” (sic), y contestación de la misma fecha de A.A.A. reiterando conocer los datos concretos del DNI necesarios para la tramitación de la expedición del título. - Copia del correo electrónico de fecha 11 de diciembre de 2023, enviado por UNIVERSITAS NEBRISSENSIS a A.A.A. con el siguiente contenido: “Si no quiere realizar el envío del DNI, envíeme otro documento oficial con los datos necesarios para la tramitación del título, pero como le indico un proceso oficial, conlleva la entrega de un DNI oficial y debidamente homologado, es decir, en vigencia” (sic), y contestación de la misma fecha de A.A.A. reiterando conocer los datos concretos del DNI necesarios para la tramitación de la expedición del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/31 título, así como la norma que exija la remisión del DNI completo para dicha gestión. - Copia del correo electrónico de fecha 11 de diciembre de 2023, enviado por UNIVERSITAS NEBRISSENSIS a A.A.A. con el siguiente contenido: “El que solicite ese documento es lógico, pues su título oficial contiene todos los datos oficiales del DNI, a excepción de sus padres, lugar de residencia actual y fecha de validez. Así podrá revisarlo a lo largo de los próximos días en su carpeta de ciudadanía. Puede revisarlo usted mismo en los modelos del ministerio. Recuerden que perder este título, equivale a publicaciones de anuncios en el BOE, por lo que estamos hablando de datos personales con un ministerio, que obliga a que sean revisados dichos datos, como vosotros actualmente no teneis acceso, es la universidad quien tiene esa responsabilizad” (sic), y contestación de la misma fecha de A.A.A. solicitando conocer el tratamiento que darán a sus datos. - Copia del correo electrónico de fecha 21 de diciembre de 2023, enviado por UNIVERSITAS NEBRISSENSIS a A.A.A. con el siguiente contenido: “El Real Decreto 1002/2010, de 5 de agosto, sobre expedición de títulos universitarios oficiales, en su artículo 14 relativo al Procedimiento de Expedición de Títulos y en su artículo 17 relativo a la Personalización del Título, establecen la necesidad de acreditación de los datos de identidad del interesado y la necesaria inclusión en el título de los siguientes datos: Nombre y apellidos de la persona interesada, tal y como figuren en su documento nacional de identidad o pasaporte válido y en vigor expedido por la autoridad competente del país de origen u otro documento de identidad en vigor válido a estos efectos en el estado miembro correspondiente. Lugar y fecha de nacimiento, así como nacionalidad de la persona interesada. Siendo estos, los motivos fundamentales por los que se solicita al alumno que remita una copia de su DNI, para tener constancia y poder acreditar documentalmente que los datos trasladados por el alumno son exactos y se corresponden con los datos de identidad oficial que constan en su DNI. Estos datos de identidad (nombre, apellidos, nº de DNI, lugar y fecha de nacimiento), son los únicos que serán tratados en su solicitud de expedición de título. Como se ha indicado, es necesaria la remisión de una copia del Documento Nacional de Identidad, para verificar el número del documento, fecha de nacimiento, nombre completo, apellidos del alumno y el lugar de nacimiento)” (sic). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se dio traslado de dicha reclamación a UNIVERSITAS NEBRISSENSIS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/31 UNIVERSITAS NEBRISSENSIS ha dado respuesta a la solicitud de información en fecha 19 de febrero de 2024, donde señala lo siguiente: “(…) Que, a efectos de justificar la necesidad de disponer de copia íntegra del DNI, la Universidad Nebrija procede a efectuar las siguientes indicaciones de conformidad con el análisis efectuado por el Delegado de Protección de Datos, en colaboración con el área jurídica y el área de gobierno corporativo: Las universidades privadas, en tanto que prestan un servicio público de educación superior, se someten al ordenamiento jurídico aplicable a la universidad española. En el caso que nos ocupa, la expedición de títulos universitarios oficiales (en cumplimiento del mandato preceptuado en el actual Art. 8 de la L.O. 2/2023, de 22 de marzo, del Sistema Universitario) viene regulada por el Real Decreto 1002/2010, de 5 de agosto, sobre expedición de títulos universitarios oficiales (en adelante, RD 1002/2010), que tiene por objeto la regulación de los requisitos y el procedimiento para la expedición de los títulos correspondientes a las enseñanzas universitarias oficiales de Grado, Máster y Doctorado. El artículo 14.1 de este Real Decreto regula el procedimiento de expedición de títulos oficiales, determinando lo siguiente: Una vez superados los estudios universitarios conducentes a la obtención de una determinada titulación oficial, el interesado podrá solicitar la expedición del correspondiente título ante el órgano competente de la universidad en la que hubiera finalizado aquéllos. El expediente constará de los siguientes documentos:

  1. a)Solicitud del interesado de expedición del título, dirigida al Rector de la universidad.
  2. b)Acreditación de los datos de identidad del interesado.
  3. c)Acreditación del pago de la tasa por expedición del correspondiente título. En virtud de lo anterior, la normativa vigente exige a la Universidad Nebrija que pueda acreditar los datos de identidad del solicitante. Esta acreditación no puede hacerse efectiva si se aporta un DNI pixelado, dado que resulta evidente que es una fotocopia manipulada mediante su edición posterior a su escaneo, que puede dar lugar a un fraude de identidad o inexactitud de los datos que constarán en un título con carácter oficial y con validez académica y profesional en todo el territorio nacional, expedido en nombre del Rey, por el Rector de la Universidad (efectos académicos reconocidos en el Art. 8 del RD 822/2021, de 28 de septiembre, por el que se establece la organización de las enseñanzas universitarias oficiales y del procedimiento de aseguramiento de su calidad, y demás concordantes del marco jurídico de aplicación). A mayor abundamiento, el artículo 17.1 del RD 1002/2010, que tiene por nombre “Personalización el título”, establece lo siguiente: Los títulos universitarios oficiales incluirán en su anverso, además de las menciones que se señalan en otros artículos de la presente norma, los siguientes datos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/31
  4. a)Referencia expresa a que el título se expide en nombre del Rey, con arreglo a la fórmula recogida en los anexos del presente real decreto.
  5. b)Nombre y apellidos de la persona interesada, tal y como figuren en su documento nacional de identidad o pasaporte válido y en vigor expedido por la autoridad competente del país de origen u otro documento de identidad en vigor válido a estos efectos en el estado miembro correspondiente.
  6. c)Lugar y fecha de nacimiento, así como nacionalidad de la persona interesada. […]. Por ello, para poder personalizar el título solicitado por el reclamante, la Universidad necesita acreditar su identidad y, además, debe, por imperativo legal, incorporar tales datos identificativos, tal y como figuran en su DNI, motivo por el que se justifica el requerimiento de cualquier universidad española (máxime aquéllas de naturaleza privada, que no tienen acceso a verificar los datos de identidad alternativos de los que disponga la Administración) de solicitar una copia del mismo, que no deberá estar manipulada (a riesgo, en otro caso, de hacer constar datos inexactos o, incluso, falsos, en un título oficial). En este sentido también se pronuncia la Orden ECI/2514/2007, de 13 de agosto, sobre expedición de títulos universitarios oficiales de Máster y Doctor (en adelante, la Orden). Esta Orden, aducida por el demandante para negar la necesidad de acreditar su identidad y la aportación de los datos mínimos exigidos por el marco normativo, así como con una evidente confusión entre una universidad privada y una Administración pública, tiene por objeto la regulación de los requisitos y el procedimiento para la expedición de los títulos universitarios oficiales de Máster y Doctor. En concreto, en su artículo 8.1 establece lo siguiente: 1. Una vez superados los estudios universitarios conducentes a la obtención de un título oficial de Máster Universitario o Doctor, el interesado podrá solicitar, en la Universidad en que hubiera concluido dichos estudios, la expedición del título. El expediente para la concesión del título constará de los siguientes documentos: […]
  7. c)Acreditación de los datos de identidad del interesado, en los términos regulados en el Real Decreto 522/2006, de 28 de abril, por el que se suprime la aportación de fotocopias de documentos de identidad en los procedimientos administrativos de la Administración General del Estado y de sus organismos públicos vinculados o dependientes. […] Asimismo, en su artículo 11.1, con respecto a la personalización del título, se indica que: Los títulos universitarios oficiales de Máster y Doctor incluirán en su anverso, además de las menciones que se señalan en otros artículos de la presente Orden, los siguientes datos:
  8. a)Referencia expresa a que el título se expide en nombre del Rey, con arreglo a la fórmula recogida en los Anexos de la presente Orden.
  9. b)Nombre y apellidos de la persona interesada, tal y como figuren en su documento nacional de identidad o pasaporte. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/31
  10. c)Lugar y fecha de nacimiento, así como nacionalidad de la persona interesada. […]. Se vuelve a hacer referencia a la necesidad de acreditar los datos de identidad del solicitante, incluyendo los datos identificativos tal y como constan en el DNI, por lo que se requiere copia no manipulada de este para verificar su identidad. Es cierto que esta Orden, al igual que hace el reclamante, se refiere al Real Decreto 522/2006, de 28 de abril, por el que se suprime la obligación, no de acreditar la identidad cuando sea preciso, sino de realizarlo mediante la aportación de fotocopias de documentos de identidad en los procedimientos administrativos de la Administración General del Estado y de sus organismos públicos vinculados o dependientes -que, de disponer de autorización expresa previa para ello, disponen de cauces alternativos habilitados en la Administración Pública, como es el sistema de verificación de datos de identidad que obren en su poder- (en adelante, RD 522/2006). No obstante, sobre este RD 522/2006, es importante efectuar las siguientes indicaciones:
  11. a)Hace referencia a los procedimientos cuya tramitación y resolución corresponda a la Administración General del Estado o a los organismos públicos vinculados o dependientes de aquélla, sobre los cuales no se exigirá a efectos de comprobación de los datos de identificación personal, a quien tenga la condición de interesado, la aportación de fotocopias del Documento Nacional de Identidad. No obstante, la Universidad Nebrija no forma parte ni de la Administración General del Estado ni de organismos públicos vinculados o dependientes de aquélla, al ser una universidad privada.
  12. b)El propio RD 522/2006 reconoce que hay determinados procedimientos que requieren la verificación de datos personales incorporados a los documentos de identidad por ser esencial para su resolución. Por ello se contempla sistemas alternativos para proceder a tal verificación sin necesidad de aportar copia del DNI. No obstante, estos sistemas no están a disposición de la Universidad Nebrija, al ser una entidad que no se encuentra en su ámbito de aplicación.
  13. c)(…) En cualquier caso, si el interesado no prestara su consentimiento deberá aportar fotocopia del documento o tarjeta de identidad correspondiente, siendo la no aportación de aquélla causa para requerirle de conformidad con lo dispuesto en el artículo 71.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común” (entiéndase referido al actual artículo 68 de la vigente Ley 39/2025, de 1 de octubre, del procedimiento administrativo común de las Administraciones Públicas. En definitiva, se prevé que en el supuesto de que no pueda comprobarse los datos por un Sistema de Verificación de Datos de Identidad, sistema que no está a disposición de la Universidad Nebrija por no incluirse en el ámbito de aplicación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/31 de esta norma, se deberá aportar fotocopia del DNI para identificar al solicitante, como es el caso.
  14. d)Por su parte, la Disposición transitoria primera, Régimen transitorio, establece lo siguiente: Hasta la fecha en que esté plenamente operativo el Sistema a que se refiere la disposición final primera, el órgano instructor podrá solicitar la aportación de fotocopia del Documento Nacional de Identidad o del documento acreditativo de la identidad o tarjeta equivalente expedida por las Autoridades española en el caso de extranjeros residentes en España, en los casos a los que se refiere el apartado 3 del artículo único. Se vuelve a reiterar que, dado que la Universidad Nebrija no tiene acceso a dicho Sistema, deberá solicitar, tal y como se indica en este apartado, fotocopia del DNI. Tras el análisis de la normativa referenciada sobre expedición de títulos, en concordancia con el derecho fundamental de autonomía universitaria expresamente reconocido en el Art. 27.10 CE que ampara el derecho de la universidad española a dotarse de sus propias normas de régimen interno, se obtienen las siguientes conclusiones: 1. La Universidad Nebrija tienen la obligación de acreditar la identidad del solicitante (además de verificar y acreditar académicamente que el título oficial se solicita por quien ha superado íntegramente el plan de estudios que da derecho al mismo). 1. Dado que los datos identificativos que debe aparecer en el Título oficial deben coincidir con los reflejados en el DNI es necesario solicitar copia de éste. 1. Al no tener acceso la Universidad Nebrija al Sistema de Verificación de Datos de Identidad, por no encontrarse dentro del ámbito de aplicación del RD 522/2006, se deberá solicitar copia del DNI para acreditar la identidad del alumnado en la expedición de títulos oficiales. 2. La copia del DNI aportada por el alumno no puede estar manipulada o pixelada, dado que, cualquier modificación operada en el mismo, minora las garantías de evitar un eventual engaño o fraude. (…)” TERCERO: Con fecha 21 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad UNIVERSITAS NEBRISSENSIS es una empresa constituida en el año 1985, y con un volumen de negocios de 74.001.501 euros en el año 2023. QUINTO: Con fecha 21 de febrero de 2025, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.
  15. c)y del artículo 32 del RGPD y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/31 del RGPD, tipificadas en el artículo 83.5 del RGPD y artículo 83.4 del RGPD, respectivamente. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder por cada una de las infracciones imputadas, sin perjuicio de lo que resulte de la instrucción, sería: 1. Por la infracción del artículo 5.1.
  16. c)del RGPD, una multa por importe de 30.000 € (treinta mil euros). 2. Por la infracción del artículo 32 del RGPD, una multa por importe de 20.000 € (veinte mil euros). Así, el importe total de las sanciones recogidas en el citado acuerdo de inicio sería de 50.000 € (cincuenta mil euros). SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones el 24 de marzo de 2025 en el que solicita el archivo del presente procedimiento sancionador y formula, en síntesis, las consideraciones siguientes: - Insiste en que el sistema aplicado, consistente en la petición de copia del DNI como medio para acreditar fehacientemente la identidad de quien solicita un título expedido por la Universidad es conforme con la normativa vigente, sin que ello redunde en una vulneración del principio de minimización de datos previsto en el RGPD. - En relación con la infracción del art. 32 RGPD, informa de la existencia de un procedimiento a través del portal del estudiante que permite solicitar información, realizar trámites y aportar documentación con todas las salvaguardas de un sistema articulado en torno a una verificación con 2FA. - Por otro lado, considera que las circunstancias señaladas para graduar las sanciones no se corresponden con la actuación desarrollada. SÉPTIMO: Con fecha 23 de diciembre de 2025 se formuló propuesta de resolución, en estos términos: “Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a UNIVERSITAS NEBRISSENSIS, S.A., con NIF A78094158, por una infracción del Artículo 32 del RGPD y Artículo 5.1.
  17. c)del RGPD, tipificada en el Artículo 83.5 del RGPD y Artículo 83.4 del RGPD, con una multa de 40.000,00 euros.” OCTAVO: Notificado la citada propuesta de resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones el 23 de enero de 2026 en el que formula, en síntesis, las consideraciones siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/31 1.- Señala una vulneración del principio de celeridad y del derecho a una tramitación diligente, al haber transcurrido más de un año entre la reclamación y el acuerdo de inicio sin que consten actuaciones previas de investigación que justifiquen dicha dilación. 2.- Mantiene la inexistencia de tratamiento de datos personales, dado que UNIVERSITAS NEBRISSENSIS se limitó a requerir el DNI, pero el reclamante no lo aportó, y que, al no existir recogida de datos ni tratamiento, no puede sancionarse la tentativa. 3.- Señala un error fáctico en la propuesta de resolución, aclarando que el envío del DNI por correo electrónico no era un requisito exclusivo ni obligatorio, habiendo obtenido el interesado su título mediante otro canal. 4.- Informa que UNIVERSITAS NEBRISSENSIS cuenta con un procedimiento específico y seguro a través de su portal del estudiante, el cual utiliza credenciales universitarias y un sistema de doble autenticación para el intercambio de documentación. 5.- Manifiesta que la solicitud del documento es una medida proporcionada y razonable para garantizar la exactitud de los datos en un título oficial, ante la imposibilidad técnica de las universidades privadas de cotejar datos directamente con las Administraciones Públicas. 6.- Considera que no procede aplicar las Directrices 1/2022 del CEPD a este caso, dado que estas se refieren exclusivamente al ejercicio de derechos. 7.- Manifiesta que se sanciona la verificación de los datos necesarios para la expedición del título, cuando UNIVERSITAS NEBRISSENSIS ya disponía de los mismos de forma lícita desde el momento de la matrícula. 8.- Señala una vulneración del principio de tipicidad, argumentando que la propuesta de resolución no describe la conducta infractora de forma precisa. 9.- Manifiesta una falta de proporcionalidad y la omisión de atenuantes, ya que no ha existido daño al reclamante ni intencionalidad, solicitando un apercibimiento en lugar de una multa administrativa. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes HECHOS PROBADOS PRIMERO: El reclamante, al solicitar la expedición de un título oficial de Master cursado en UNIVERSITAS NEBRISSENSIS, remitió copia de su DNI pixelado, omitiendo datos que no consideraba necesarios. SEGUNDO: Recibida la solicitud de expedición del título, UNIVERSITAS NEBRISSENSIS requirió al reclamante copia completa de su DNI por cuanto entendía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/31 que era la única manera de acreditar de forma fidedigna la identidad del solicitante y, por lo tanto, del estudiante en cuyo favor se expediría el título solicitado. TERCERA: Según indicaciones de UNIVERSITAS NEBRISSENSIS a la parte reclamante, la copia del DNI debería ser remitida en respuesta al correo electrónico en el que le informaba del proceso a seguir para solicitar la expedición del título. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/31 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que UNIVERSITAS NEBRISSENSIS realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, como: nombre y apellidos, número de DNI y correo electrónico. El artículo 4.7) del RGPD, define «responsable del tratamiento» o «responsable»: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” El artículo 4.7) del RGPD, define «encargado del tratamiento» o «encargado»: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” UNIVERSITAS NEBRISSENSIS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Alegaciones al acuerdo de inicio La parte reclamada presentó escrito de alegaciones el 24 de marzo de 2025, que fueron contestadas en la propuesta de resolución en los siguientes términos: “En el escrito de alegaciones presentado en respuesta al acuerdo de inicio del presente procedimiento sancionador, la parte reclamada insiste en que la normativa que se aplica a la expedición de los títulos correspondientes a las enseñanzas universitarias oficiales de Grado, Máster y Doctorado exige acreditar los datos de identidad del interesado y que la acreditación fehaciente de dicha identidad sólo puede realizarse mediante el DNI. Y ello por cuanto la propia Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana determina, en su artículo 8, que el DNI es el único medio para acreditar la identidad y los datos del titular y que el Real Decreto 1553/2005, de 23 de diciembre, por el que se regula la expedición del documento nacional de identidad y sus certificados de firma electrónica, en su artículo 1, otorga a dicho DNI, por sí solo, suficiente valor para acreditar la identidad y los datos personales de su titular. Por ello, considera que no es posible admitir la mera verificación de los datos del interesado o mediante la aportación de un DNI pixelado, que se trataría de una fotocopia manipulada mediante su edición posterior a su escaneo, lo que puede dar lugar a un fraude de identidad o inexactitud de los datos que constarán en un título con carácter oficial y con validez académica y profesional en todo el territorio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/31 nacional. Todo ello podría hacer incurrir a la Universidad en responsabilidad frente a los daños causados a terceros que confíen en la autenticidad del título. Insiste en que la normativa exige la aportación de fotocopias de documentos de identidad en los procedimientos administrativos de la Administración General del Estado y de sus organismos públicos vinculados o dependientes cuando estos no dispongan de autorización para utilizar el Sistema de Verificación de Datos de Identidad, sistema no accesible para las universidades privadas. Por ello, considera que, dado que la parte reclamada no tiene acceso a dicho Sistema, está justificado que solicite copia del DNI para acreditar la identidad, ya que esta misma obligación se exige a las Universidades Públicas que no puedan verificar la identidad de los interesados a través del Sistema de Verificación de Datos. En respuesta a estas alegaciones señalemos que esta AEPD entiende que, en efecto, la normativa de aplicación en materia de expedición de títulos universitarios oficiales de Máster y Doctor por las Universidades españolas, en todo el territorio nacional- Orden ECI/2514/2007, de 13 de agosto, sobre expedición de títulos universitarios oficiales de Máster y Doctor- prevé que la solicitud de expedición contenga (art. 8):
  18. c)Acreditación de los datos de identidad del interesado, en los términos regulados en el Real Decreto 522/2006, de 28 de abril, por el que se suprime la aportación de fotocopias de documentos de identidad en los procedimientos administrativos de la Administración General del Estado y de sus organismos públicos vinculados o dependientes. En esta misma línea se pronuncia el posterior Real Decreto 1002/2010, de 5 de agosto, sobre expedición de títulos universitarios oficiales- de aplicación a la expedición de títulos universitarios oficiales en todo el territorio nacional por las universidades españolas públicas y privadas- que en su artículo 14 dispone lo siguiente: 1. Una vez superados los estudios universitarios conducentes a la obtención de una determinada titulación oficial, el interesado podrá solicitar la expedición del correspondiente título ante el órgano competente de la universidad en la que hubiera finalizado aquellos. El expediente constará de los siguientes documentos:
  19. a)(…)
  20. b)Acreditación de los datos de identidad del interesado.
  21. c)(…) Dicho precepto no indica nada, no obstante, acerca de los términos en los que debiera realizarse dicha acreditación de identidad del interesado. Por otro lado, según el artículo 17 de este mismo Real Decreto, los títulos universitarios oficiales incluirán en su anverso, entre otros, los siguientes datos:
  22. b)Nombre y apellidos de la persona interesada, tal y como figuren en su documento nacional de identidad o pasaporte válido y en vigor expedido por la autoridad competente del país de origen u otro documento de identidad en vigor válido a estos efectos en el estado miembro correspondiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/31 Esto nos lleva a que, al menos, deberá acreditarse el nombre y apellidos del interesado indicado en su DNI. Un interesado que, ha de recordarse, ha sido alumno del centro al que solicita la expedición del título obtenido tras los estudios realizados. Y cuyos datos personales identificativos, precisamente en su condición de alumno, han de estar a disposición del centro. Tenemos, por lo tanto,
  23. i)que debe acreditarse la identidad de quien solicita la expedición de un título, de tal forma que éste coincida con quien fue alumno de la Universidad a la que se dirige la solicitud y
  24. ii)y que, a la hora de personalizar el título, la Universidad debe asegurarse que los datos de la persona a cuyo favor se expide dicho título coinciden con los que figuran en el DNI del que es titular dicha persona. Nos encontramos, por lo tanto, con un interesado que solicita el título y con un interesado, alumno del centro que expide el título solicitado, y a cuyo favor se expide el mismo y cuyos datos personales tal y como figuran en el DNI han de figurar en el reverso del título expedido. Ambos han de coincidir, pero el elemento realmente significativo es el interesado al que se le expide el título porque, este sí, es el elemento que tiene efectos ad extra y respecto del cual, eventualmente y como alega la parte reclamada, podría exigirse responsabilidad. Y ello por cuanto, en lógica, la expedición de un título- en este caso de Máster- únicamente podrá realizarse a favor de quien ha cursado los estudios que le hacen merecedor del mismo, que es estudiante del centro al que dirige la solicitud, que, por tal motivo, lleva tratando los datos identificativos del alumno durante todo el tiempo en que los estudios se han desarrollado. Por otro lado, la parte reclamada alude al Real Decreto 522/2006, de 28 de abril, por el que se suprime la aportación de fotocopias de documentos de identidad en los procedimientos administrativos de la Administración General del Estado y de sus organismos públicos vinculados o dependientes y, en concreto al mecanismo que se articula en el mismo en su artículo único, del que destacan los siguientes apartados (el subrayado es de esta AEPD): 2. La comprobación o constancia de los datos de identidad de quienes tengan la condición de interesado en dichos procedimientos administrativos a que se refiere el apartado anterior se realizará de oficio por el órgano instructor, de acuerdo con los datos de identificación que obren en sus archivos, bases de datos u otros fondos documentales. 3. Sin perjuicio de lo dispuesto en el apartado anterior, en los procedimientos para cuya tramitación sea imprescindible acreditar de modo fehaciente datos personales incorporados a los documentos de identidad de quienes tengan la condición de interesado, el órgano instructor podrá comprobar tales datos mediante un Sistema de Verificación de Datos de Identidad. En todo caso será preciso el consentimiento del interesado para que sus datos de identidad personal puedan ser consultados por este sistema por el órgano instructor, debiendo constar dicho consentimiento en la solicitud de iniciación del procedimiento o en cualquier otra comunicación posterior. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/31 En cualquier caso, si el interesado no prestara su consentimiento deberá aportar fotocopia del documento o tarjeta de identidad correspondiente, siendo la no aportación de aquélla causa para requerirle de conformidad con lo dispuesto en el artículo 71.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Dicho art. 71.1- en una dicción prácticamente idéntica a la del art. 68 de la Ley 39/2015, LPACAP- se refería a la subsanación y mejora de la solicitud en los siguientes términos. 1. Si la solicitud de iniciación no reúne los requisitos que señala el artículo anterior y los exigidos, en su caso, por la legislación específica aplicable, se requerirá al interesado para que, en un plazo de diez días, subsane la falta o acompañe los documentos preceptivos, con indicación de que, si así no lo hiciera, se le tendrá por desistido de su petición, previa resolución que deberá ser dictada en los términos previstos en el artículo 42. Ha de llamarse la atención a que, el caso para el que el mencionado RD prevé en primer lugar que la comprobación de los datos de identidad se hará de acuerdo con los datos de identificación que obren en sus archivos, bases de datos u otros fondos documentales y que, cuando no se cuente con el consentimiento del interesado para utilizar el sistema de verificación de datos de identidad, se deberá aportar copia del DNI, petición que se circunscribe a los procedimientos para cuya tramitación sea imprescindible acreditar de modo fehaciente datos personales incorporados a los documentos de identidad. Se ha de recordar, por otro lado, que el mencionado RD 522/2006 señala en su preámbulo lo siguiente: “La exigencia de aportar fotocopia del DNI o del documento equivalente, si bien constituyó en su momento un importante avance para los ciudadanos al sustituir la necesidad de aportar otros documentos (certificados de nacimiento...) de obtención más complicada, ha quedado claramente obsoleta y discordante con una situación administrativa y social decididamente orientada a disminuir las cargas y barreras burocráticas mediante un uso racional de las técnicas y recursos disponibles. Pero, además, la aportación resultaba en la actualidad de utilidad discutible, tanto porque en muchas ocasiones duplicaba un dato requerido en la propia solicitud (el número de DNI o del documento equivalente) como por la facilidad de manipulación de una fotocopia (…). No obstante, es cierto que determinados procedimientos requieren la verificación de datos personales incorporados a los documentos de identidad por ser esencial para su resolución. Por ello el proyecto, además de terminar explícitamente con la obligación de aportar fotocopias del Documento Nacional de Identidad, contempla sistemas –alternativos y más confiables que dichas fotocopias– para proceder a tal verificación. En cualquier caso, el presente real decreto afecta exclusivamente a la exigencia de aportar fotocopia del DNI y no a la obligación de identificación de quien comparece ante la Administración Pública.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/31 Teniendo todo lo anterior en consideración, podemos concluir que el solicitante de un título de Máster, como es el caso del reclamante y el analizado en el presente procedimiento, ha de acreditar sus datos de identidad – en los términos del Real Decreto 1002/2010- y estos, en buena lógica, han de coincidir con la persona que ha realizado los estudios en el centro al que dirige la solicitud de expedición del título. Una acreditación de la identidad que ha de hacerse, en primer lugar, acudiendo a la información al respecto que tiene la entidad a la que se dirige la solicitud y que, en el caso que nos ocupa, es la que ha impartido la formación al solicitante, alumno suyo. Ha de afirmarse, por lo tanto, que la parte reclamada tiene en su poder la información que acredita la identidad de la parte reclamante como parte de su alumnado. Y que, por lo tanto, por esta vía es por la que debería proceder a acreditar la identidad del solicitante. Una comprobación de los datos de identidad que deben, precisamente, circunscribirse a esos: a los que permitan comprobar que el solicitante de la expedición de un título, en este caso de máster, coincide con la persona que ha cursado los estudios que le hacen acreedor de dicho título. Esta acreditación de los datos de identidad puede hacerse a través del DNI, pero sin que sea requisito imprescindible aportar todos los datos contenidos en el mismo, siendo por el contrario suficiente aportar aquellos que permitan acreditar la identidad del solicitante, de tal manera que se respete el principio de minimización de datos contenido en el art. 5.1 c). Datos, que, como la propia parte reclamada menciona en los escritos remitidos a esta AEPD consistirían en número del documento, fecha de nacimiento, nombre completo, apellidos del alumno y el lugar de nacimiento” Por lo tanto, esta alegación ha de ser desestimada. En lo relativo a la infracción del art. 32 RGPD, alega la parte reclamada que dispone en la actualidad de un procedimiento específico de intercambio de documentación, accesible para el/la estudiante desde el Portal de Servicios de la UNIVERSIDAD NEBRIJA y permite gestionar la emisión de su título. Informa de que este procedimiento, a través de una plataforma específica, permite a los estudiantes solicitar información, realizar trámites o enviar documentación. Se describe el proceso de identificación en dicho Portal mediante el correo electrónico del estudiante y su contraseña, comprobación de identidad a través del autentificador de doble factor; una vez comprobada la identidad podrá acceder al portal de trámites; en el apartado de “Expedición de títulos”, el/la estudiante puede aportar toda la documentación requerida para hacer efectivo este trámite, a los efectos que interesan, copia del DNI. En respuesta a estas alegaciones cabe señalar que, si bien esta Agencia acoge favorablemente el sistema articulado y que la parte reclamada alega que está vigente en la actualidad, no es menos cierto que, según consta en el expediente y ha quedado acreditado, la petición de copia del DNI se hizo por correo electrónico en el que expresamente se indicaba que dicha copia debía suministrarse “dando a responder a ESTE MENSAJE”, por lo cual, se estaba aplicando un sistema de intercambio de información, en este caso de copia del DNI, que adolecía de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/31 medidas de seguridad requeridas adecuadas al nivel de riesgo derivado del tratamiento. Por lo tanto, esta alegación ha de ser también desestimada, si bien se tendrá en cuenta a la hora de valorar la sanción propuesta por la infracción de este precepto. Asimismo, la parte reclamada realiza alegaciones con relación a las circunstancias tenidas en cuenta para cuantificar las sanciones relacionadas con las infracciones. Con relación a la circunstancia prevista en el art. 83.2
  25. a)señala que, en el concreto supuesto del estudiante afectado, pudo optar por acreditar su identidad con entrega de la fotocopia presencialmente para cotejo de los datos imprescindibles por el personal de la Universidad. Esta alegación ha de ser desestimada en atención a la documentación obrante en el expediente: la petición de copia del DNI se hizo por correo electrónico y se pidió que dicha copia se remitiera en respuesta a dicho correo electrónico. En todo momento durante la tramitación del presente procedimiento sancionador la parte reclamada intenta justificar su petición de copia del DNI, al objeto de comprobar la identidad del solicitante y que el título se expide a quien ha superado los estudios que le hacen merecedor del mismo. La reiteración en la petición de copia justifica que, al menos en el momento de los hechos, esta fue la única vía a disposición del reclamante. De igual forma, la reiteración en la justificación de la petición de copia implica, a nuestro juicio, que esta es la única vía con la que UNIVERSITAS NEBRISSENSIS considera adecuada la verificación de identidad. Niega intencionalidad alguna en su actuación por cuanto consta que la parte reclamada le reiteró en diversas ocasiones que el DNI escaneado y editado aportado no reunía las garantías mínimas para poder acreditar la identidad y datos básicos exigidos por la normativa vigente a los efectos del trámite solicitado. Y también que se ofreció una respuesta pormenorizada a cuantas dudas planteó el reclamante al respecto. Al respecto sólo cabe señalar que, en ninguna de las respuestas a los planteamientos del reclamante, la Universidad le proporcionó alguna opción alternativa a la remisión de copia del DNI y mantuvo una posición reiterada de exigencia de dicha documentación. Circunstancias que, dado que ellos mismos identifican los datos necesarios para el trámite solicitado y que éstos no son todos los que contiene el DNI, a juicio de esta AEPD, manifiestan una clara intencionalidad en la realización de los hechos. De igual forma, señalan que, si bien realiza un tratamiento de datos de una gran cantidad de alumnos, dicho tratamiento con respecto a la expedición de títulos es lícito por lo que no existe una infracción que pueda repercutir al tratamiento de datos a gran escala. Respecto de esta alegación, no cabe más que remitirnos a la valoración de los hechos contenida en los apartados anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/31 Finalmente, considera que, al duplicar los criterios para la graduación de las multas derivadas de ambas infracciones, se produce un aumento considerable de la sanción. Cabe aclarar en este sentido que las circunstancias que se plantean son las que se tienen en consideración al objeto de especificar la multa; circunstancias que, a juicio de esta AEPD y por los argumentos que se especificaban en el acuerdo de apertura, se considera presentes en ambas infracciones. Por todo lo indicado, cabe desestimar todas las alegaciones aducidas”. IV Alegaciones a la propuesta de resolución PRIMERO: UNIVERSITAS NEBRENSSIS señala una vulneración del principio de celeridad y del derecho a una tramitación diligente, al haber transcurrido más de un año entre la reclamación y el acuerdo de inicio sin que consten actuaciones previas de investigación que justifiquen la dilación. Al respecto, esta Agencia quiere señalar que la reclamación fue interpuesta con fecha 28 de diciembre de 2023. En observancia de lo dispuesto en el artículo 65.5 de la LOPDGDD, que otorga a esta autoridad un plazo de tres meses para decidir sobre la admisión a trámite, dicha admisión se produjo el 21 de febrero de 2024. Por tanto, la actuación de esta Agencia se realizó dentro del marco legalmente previsto, sin que quepa apreciar dilación alguna en esta fase inicial. En cuanto al acuerdo de inicio, este se dictó el 21 de febrero de 2025, respetando lo establecido en el Título VIII de la LOPDGDD para la apertura de un procedimiento sancionador. Sobre la ausencia de actuaciones previas de investigación, cabe aclarar que estas tienen carácter potestativo y no obligatorio. Su finalidad es determinar con precisión los hechos y circunstancias que justifiquen la incoación del procedimiento; sin embargo, en el presente caso, los hechos estaban suficientemente claros desde la presentación de la reclamación, lo que hacía innecesaria su realización. Es preciso recordar que la única limitación temporal para la incoación de un procedimiento sancionador es la prescripción de las infracciones, de 3 años (infracciones muy graves) para el artículo 5.1.
  26. c)del RGPD según el artículo 72 de la LOPDGDD, plazo que en ningún caso han sido superados. SEGUNDO: UNIVERSITAS NEBRISSENSIS mantiene la inexistencia de tratamiento de datos personales, dado que esta se limitó a requerir el DNI, pero el reclamante no lo aportó, y que, al no existir recogida de datos ni tratamiento, no puede sancionarse la mera tentativa. No obstante, tal interpretación es incorrecta y se opone a lo dispuesto en el concepto de tratamiento del artículo 4.2 del RGPD, el cual no exige la obtención efectiva de los datos personales o su almacenamiento para que exista tratamiento. La solicitud de datos personales es una fase del tratamiento y constituye el inicio de la recogida de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/31 estos. Así, la infracción se llevaría a cabo en el momento en que se exige un dato que no es necesario, proporcional o lícito para la finalidad perseguida, con independencia de que el interesado proporcione o no sus datos personales. En este supuesto, el hecho de que el reclamante no enviara su DNI por correo electrónico para obtener su título académico no implica que no se esté vulnerando el principio de minimización del artículo 5.1.
  27. c)del RGPD al requerir la reclamada la copia completa del DNI. Una infracción no puede depender de lo que haga o deje de hacer la parte reclamante, sino de lo que hace la parte reclamada que es la responsable del tratamiento. TERCERO: La reclamada señala un error fáctico en la propuesta de resolución, aclarando que el envío del DNI por correo electrónico no era un requisito exclusivo ni obligatorio, habiendo obtenido el interesado su título mediante otro canal. Como se ha mencionado en el anterior apartado, el hecho de que el reclamante haya obtenido su título por otro canal no implica que el requerimiento de la copia completa de su DNI por correo electrónico sea correcto. En este sentido, en el correo enviado por UNIVERSITAS NEBRISSENSIS el 23 de noviembre de 2023 al reclamante se le indicaba “A continuación, deberás adjuntar (como archivos adjuntos) dando a responder a ESTE MENSAJE: - El justificante del pago. - Copia del DNI (con nacionalidad española) o Pasaporte/NIE (sin nacionalidad española)” (el subrayado es de esta Agencia) Y el 4 de diciembre de 2023 UNIVERSITAS NEBRISSENSIS le indicó al reclamante: “El DNI es un documento de carácter obligatorio a la hora de tramitar un título oficial con el ministerio de educación, por tanto si es de Nacionalidad española, es necesario que adjunte su DNI completo para que podamos tramitar, de no ser así, habrá datos que no podremos completar y su tramitación quedara incompleta” (el subrayado es de esta Agencia). El 5 de diciembre de 2023 UNIVERSITAS NEBRISSENSIS insiste al reclamante: “Es necesitarlo el Documento oficial de identidad completo, es un requisito indispensable para tramitar un título oficial personal con el Ministerio de Educación, de no disponer de tu documento en vigor a la hora de tramitar el título, no podemos hacerlo.” El 11 de diciembre de 2023 UNIVERSITAS NEBRISSENSIS insiste: “Si no quiere realizar el envió del DNI, envíeme otro documento oficial con los datos necesarios para la tramitación del título, pero como le indico un proceso oficial, conlleva la entrega de un DNI oficial y debidamente homologado, es decir, en vigencia” y “El que solicite ese documento es lógico, pues su título oficial contiene todos los datos oficiales del DNI, a excepción de sus padres, lugar de residencia actual y fecha de validez.” El 21 de diciembre de 2023 UNIVERSITAS NEBRISSENSIS continuó exigiendo al reclamante el envío de la copia de su DNI: ““El Real Decreto 1002/2010, de 5 de agosto, sobre expedición de títulos universitarios oficiales, en su artículo 14 relativo al Procedimiento de Expedición de Títulos y en su artículo 17 relativo a la Personalización del Título, establecen la necesidad de acreditación de los datos de identidad del interesado y la necesaria inclusión en el título de los siguientes datos: Nombre y apellidos de la persona interesada, tal y como figuren en su documento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/31 nacional de identidad o pasaporte válido y en vigor expedido por la autoridad competente del país de origen u otro documento de identidad en vigor válido a estos efectos en el estado miembro correspondiente. Lugar y fecha de nacimiento, así como nacionalidad de la persona interesada. Siendo estos, los motivos fundamentales por los que se solicita al alumno que remita una copia de su DNI, para tener constancia y poder acreditar documentalmente que los datos trasladados por el alumno son exactos y se corresponden con los datos de identidad oficial que constan en su DNI. Estos datos de identidad (nombre, apellidos, nº de DNI, lugar y fecha de nacimiento), son los únicos que serán tratados en su solicitud de expedición de título. Como se ha indicado, es necesaria la remisión de una copia del Documento Nacional de Identidad, para verificar el número del documento, fecha de nacimiento, nombre completo, apellidos del alumno y el lugar de nacimiento). Por tanto, ha quedado debidamente acreditado en el presente procedimiento la exigencia de UNIVERSITAS NEBRISSENSIS en que el reclamante proporcionara la copia de su DNI por medios electrónicos no suficientemente seguros, con independencia de que el reclamante finalmente obtuviera su título acreditando su identidad de forma presencial. En ningún momento, la parte reclamada indica una alternativa suficientemente segura para trasladar datos de carácter personal. No obstante, en atención a que solo ha quedado acreditada la afectación a un estudiante se ha visto afectado por este procedimiento de envío de documentación, se lleva a cabo una reducción de la cuantía de la multa administrativa de 30.000 euros a 20.000 euros por infracción del artículo 5.1.
  28. c)del RGPD. CUARTO: UNIVERSITAS NEBRISSENSIS informa de que cuenta con un procedimiento específico y seguro a través de su portal del estudiante, el cual utiliza credenciales universitarias y un sistema de doble autenticación para el intercambio de documentación. UNIVERSITAS NEBRISSENSIS ha acreditado a esta Agencia que dispone de un entorno seguro para el tratamiento de datos de los estudiantes, disponiendo de un mecanismo de doble autenticación para la recepción de la documentación enviada por los estudiantes, lo que garantiza un nivel de seguridad técnica y organizativa adecuado al riesgo. Así, se acuerda estimar esta alegación y el consecuente archivo de las actuaciones por la presunta infracción del artículo 32 del RGPD. QUINTO: UNIVERSITAS NEBRISSENSIS manifiesta que la solicitud del documento es una medida proporcionada y razonable para garantizar la exactitud de los datos en un título oficial, ante la imposibilidad técnica de las universidades privadas de cotejar datos directamente con las Administraciones Públicas. Esta alegación ya fue contestada en la propuesta de resolución de 23 de diciembre de 2025, y cuyo contenido está reproducido en el apartado III de los Fundamentos de derecho de esta resolución a la cual nos remitimos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/31 SEXTO: UNIVERSITAS NEBRISSENSIS considera que no procede aplicar las Directrices 1/2022 del CEPD a este caso, dado que estas se refieren exclusivamente al ejercicio de derechos. Esta Agencia quiere recalcar que la imputación no se fundamenta en las citadas Directrices, sino que la infracción deriva de una vulneración del principio de minimización previsto en el artículo 5.1.c). La referencia a dichas Directrices se ha utilizado como un argumento para resaltar la sensibilidad del DNI, otorgándole una mayor protección derivada de la cantidad de datos que este contiene y del riesgo que implica para los interesados un tratamiento incorrecto o una posible brecha de seguridad. SÉPTIMO: Manifiesta que se sanciona la verificación de los datos necesarios para la expedición del título, cuando UNIVERSITAS NEBRISSENSIS ya disponía de los mismos de forma lícita desde el momento de la matrícula. Esta alegación también ha sido contestada en la propuesta de resolución de 23 de diciembre de 2025, y cuyo contenido está reproducido en el apartado III de los Fundamentos de derecho de esta resolución a la cual nos remitimos. OCTAVO: Señala una vulneración del principio de tipicidad, argumentando que la propuesta de resolución no describe la conducta infractora de forma precisa. En el presente caso, el hecho infractor aparece recogido tanto en el acuerdo de inicio como en la propuesta de resolución, consistiendo en la exigencia de una copia completa del DNI a través de correo electrónico como condición sine qua non para la obtención de un título, y vulnerando así el principio de minimización de datos contenido en el artículo 5.1.
  29. c)del RGPD. Por tanto, el principio de tipicidad ha sido respetado puesto que se ha determinado claramente el hecho que ha provocado la vulneración de la normativa, en este caso, del RGPD. UNIVERSITAS NEBRISSENSIS ha conocido en todo momento el hecho, los artículos infringidos, así como su tipificación, pudiendo ejercer su derecho de defensa. NOVENO: Manifiesta una falta de proporcionalidad y la omisión de atenuantes, ya que no ha existido daño al reclamante ni intencionalidad, solicitando un apercibimiento en lugar de una multa administrativa. Esta Agencia ha tenido en cuenta todas las alegaciones presentadas, minorando la cuantía de la multa administrativa por la infracción del artículo 5.1.
  30. c)del RGPD, que queda fijada en 20.000 euros. Así mismo, se procede a archivar la infracción del artículo 32 del RGPD en atención a las alegaciones presentadas. Por tanto, en base a lo anterior se desestiman las alegaciones presentadas a la propuesta de resolución. V Obligación incumplida. Minimización de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/31 La letra
  31. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  32. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" En el presente caso, de la documentación presentada junto a la reclamación se desprende que la UNIVERSITAS NEBRISSENSIS requirió a A.A.A. la presentación del documento de identidad escaneado por ambas caras, como condición indispensable para la expedición de un título universitario oficial. UNIVERSITAS NEBRISSENSIS confirma en su escrito de contestación al traslado de 19 de febrero de 2024 a esta Agencia que, efectivamente, se efectuó dicho requerimiento ya que: “la normativa vigente exige a la Universidad Nebrija que pueda acreditar los datos de identidad del solicitante”, añadiendo que: “dado que los datos identificativos que debe aparecer en el Título oficial deben coincidir con los reflejados en el DNI, es necesario solicitar copia de éste”. El artículo 14 del Real Decreto 1002/2010, de 5 de agosto, sobre expedición de títulos universitarios oficiales, dispone lo siguiente: “Artículo 14. Solicitud. 1. Una vez superados los estudios universitarios conducentes a la obtención de una determinada titulación oficial, el interesado podrá solicitar la expedición del correspondiente título ante el órgano competente de la universidad en la que hubiera finalizado aquellos. El expediente constará de los siguientes documentos:
  33. a)Solicitud del interesado de expedición del título, dirigida al Rector de la universidad.
  34. b)Acreditación de los datos de identidad del interesado.
  35. c)Acreditación del pago de la tasa por expedición del correspondiente título. (…)” En consecuencia, de acuerdo con lo previsto en esta normativa, el responsable del tratamiento podría solicitar información adicional para confirmar la identidad del interesado. No obstante, la solicitud de información adicional para dicha acreditación debe ser adecuada, pertinente y limitada a la acreditación de su identidad, con el fin de evitar una recopilación excesiva de datos. En este sentido, las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso en su apartado 74, indican que: "Cabe destacar que la utilización de una copia de un documento de identidad como parte del proceso de autenticación crea un riesgo para la seguridad de los datos personales y puede dar lugar a un tratamiento no autorizado o ilícito y, como tal, debe considerarse inapropiado, a menos que sea necesario, adecuado y conforme a la legislación nacional." Continúa el apartado 76 señalando lo siguiente: “La información sobre el documento de identidad que no es necesaria para confirmar la identidad del interesado, como el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/31 acceso y el número de serie, la nacionalidad, el tamaño, el color de los ojos, la fotografía y la zona legible por máquina, en función de una evaluación caso por caso, puede ser redactada u ocultada por el interesado antes de presentarla al responsable del tratamiento, excepto cuando la legislación nacional exija una copia completa del documento de identidad sin redactar (véase el párrafo 78 infra). En general, la fecha de emisión o de caducidad, la autoridad expedidora y el nombre completo que coincida con la cuenta en línea son suficientes para que el responsable del tratamiento verifique la identidad, siempre que se garantice la autenticidad de la copia y la relación con el solicitante. Solo podrá exigirse información adicional, como la fecha de nacimiento del interesado, en caso de que persista el riesgo de identidad errónea, si el responsable del tratamiento es capaz de compararla con la información que ya procesa.” Asimismo, en el Informe 0048/2023 de la AEPD: Uso de los datos y realización de copias del DNI, se dispone que: “(…) la información del documento de identidad que no sea necesaria para confirmar la identidad del interesado, en el contexto concreto, tal y como por ejemplo, el número del documento, la fotografía, o los datos que se pueden leer por máquina, nos lleva a concluir que la solicitud del DNI con la toma de una copia del mismo sería, en principio, un tratamiento excesivo, y que no puede instaurarse por sistema, sino que habrá que analizar, caso por caso, multitud de aspectos, que van desde la base jurídica que legitima dicho tratamiento, sobre todo si está previsto en la ley, hasta el riesgo de dicho tratamiento teniendo presente el principio de minimización y la proporcionalidad de dicha medida, ya que como nos recuerda el Considerando 39 del RGPD: Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. (...). Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” Artículo 17. Personalización del título. 1. Los títulos universitarios oficiales incluirán en su anverso, además de las menciones que se señalan en otros artículos de la presente norma, los siguientes datos:
  36. a)Referencia expresa a que el título se expide en nombre del Rey, con arreglo a la fórmula recogida en los anexos del presente real decreto.
  37. b)Nombre y apellidos de la persona interesada, tal y como figuren en su documento nacional de identidad o pasaporte válido y en vigor expedido por la autoridad competente del país de origen u otro documento de identidad en vigor válido a estos efectos en el estado miembro correspondiente.
  38. c)Lugar y fecha de nacimiento, así como nacionalidad de la persona interesada.
  39. d)Fecha de finalización de los estudios que será la de la completa superación de las enseñanzas que dan derecho a su obtención. Por tanto, la obligación de acreditar los datos de identidad de los solicitantes de títulos universitarios, prevista en el artículo 14 del Real Decreto 1002/2010, de 5 de agosto, sobre expedición de títulos universitarios oficiales, puede alcanzarse sin necesidad de que se tenga que requerir y almacenar la imagen del documento de identidad, debiéndose buscar alternativas que permitan cumplir con la referida normativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/31 Siendo así, la solicitud de la copia del documento de identidad con toda la información contenida en ese documento ha de entenderse como un tratamiento de datos personales inadecuados, no pertinentes y no necesarios para el fin específico del tratamiento, contrario a los principios de protección de datos, concretamente, al principio de “minimización de datos”, regulado en el artículo 5.1.
  40. c)del RGPD. A este respecto, y aunque relativo a un ámbito distinto al que nos ocupa, destaquemos que esta AEPD, en nota informativa dictada en junio de 2025 sobre la petición de copia del DNI en hospedajes para dar cumplimiento a la normativa de registro de viajeros indica expresamente que: “Solicitar una copia del Documento Nacional de Identidad o del Pasaporte vulnera el principio de minimización de datos, establecido en el artículo 5.1.
  41. c)del RGPD, y supone un tratamiento excesivo de datos. Esto se debe a que el DNI completo contiene más datos que los obligados a aportar en virtud de la normativa aplicable, como la fotografía, la fecha de caducidad del documento, el CAN o el nombre de los padres. Asimismo, el entregar una copia de la documentación personal implica, entre otros, un riesgo innecesario de suplantación de la identidad, que debe ser evitado o, por lo menos, mitigado de manera efectiva”. La normativa exige que la universidad confirme determinados datos identificativos del solicitante, como el nombre y apellidos, lugar y fecha de nacimiento, y nacionalidad, por lo que la acreditación de la identidad podría realizarse mediante la verificación de dichos datos, sin necesidad de solicitar y almacenar una copia completa del documento de identidad. Asimismo, dado que para la obtención del título es requisito haberse matriculado previamente, la universidad ya dispone de los datos identificativos del alumno, pudiendo cotejarlos con los aportados durante el proceso de solicitud del título, conforme al procedimiento de acceso y matriculación previamente publicado. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a UNIVERSITAS NEBRISSENSIS, por vulneración del artículo transcrito anteriormente. VI Tipificación de la infracción del artículo 5.1.
  42. c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  43. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/31 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  44. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VII Sanción que se acuerda imponer a UNIVERSITAS NEBRISSENSIS A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  45. a)a
  46. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  47. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  48. b)la intencionalidad o negligencia en la infracción;
  49. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  50. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  51. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  52. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  53. g)las categorías de los datos de carácter personal afectados por la infracción;
  54. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  55. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/31
  56. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  57. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  58. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  59. a)El carácter continuado de la infracción.
  60. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  61. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  62. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  63. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  64. f)La afectación a los derechos de los menores.
  65. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  66. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en el afectado, corresponde la imposición de multa, además de la adopción de medidas. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de UNIVERSITAS NEBRISSENSIS de 74.001.501 euros en el año 2023. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): UNIVERSITAS NEBRISSENSIS solicitó el 4 de diciembre de 2023 la copia de ambas caras del documento de identidad, con el riesgo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/31 que ello conlleva para A.A.A. En este caso, la duración de la infracción se ha producido desde el momento de la solicitud del DNI hasta que se ha expedido el título. El número de afectados se concreta en una sola persona, la parte reclamante. Se tiene en cuenta como factor agravante que se requirió la remisión de copia del DNI por correo electrónico, lo que genera riesgos adicionales para el reclamante. - Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): En este caso, la especial intencionalidad se desprende del contenido de los correos electrónicos intercambiados entre las partes, en los que se niega la posibilidad a A.A.A. de acreditar la identidad mediante la aportación de un DNI con los datos que no eran necesarios anonimizados en repetidas ocasiones. Asimismo, UNIVERSITAS NEBRISSENSIS no contestó la solicitud reiterada de A.A.A. acerca de qué datos en concreto eran los necesarios para el trámite. - Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2.
  67. g)del RGPD): Las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…) el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito)”. De conformidad con el Real Decreto 255/2025, de 1 de abril, por el que se regula el Documento Nacional de Identidad, el número de DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular. Esta cualidad lo convierte en un dato personal particularmente sensible pues, en la medida en que su tratamiento no vaya acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con total facilidad, o, con otras palabras, puede provocar un fraude de identidad, con los riesgos que ello comporta para la privacidad, el honor y el patrimonio del suplantado. En definitiva, no pueden obviarse los riesgos evidentes de que la entrega de la copia del DNI puede conllevar para los derechos y libertades de la parte reclamada. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): UNIVERSITAS NEBRISSENSIS es una universidad privada con 12.000 alumnos (https://www.nebrija.com/la_universidad/transparencia/estudiantes.php) está habituada al tratamiento continuo de los datos personales de los estudiantes universitarios que cursan estudios en la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/31 El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  68. c)del RGPD, permite fijar una sanción de multa administrativa de 20.000,00 euros. VIII Archivo. Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  69. a)la seudonimización y el cifrado de datos personales;
  70. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
  71. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  72. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." El RGPD, en su artículo 32, exige a los responsables del tratamiento la adopción de las correspondientes medidas de seguridad de índole técnica y organizativa necesarias que garanticen que el tratamiento es conforme a la normativa vigente, así como garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo los pueda tratar siguiendo instrucciones del responsable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/31 Resulta necesario señalar que el citado precepto no establece un listado de medidas de seguridad concretas de acuerdo con los datos objeto de tratamiento, sino que establece la obligación de que el responsable y el encargado del tratamiento apliquen medidas técnicas y organizativas que sean adecuadas al riesgo que conlleve el tratamiento, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, alcance, contexto y finalidades del tratamiento, los riesgos de probabilidad y gravedad para los derechos y libertades de las personas interesadas. Asimismo, las medidas de seguridad deben resultar adecuadas y proporcionadas al riesgo detectado, determinando aquellas medidas técnicas y organizativas adecuadas teniendo en cuenta la seudonimización y el cifrado, la capacidad para garantizar la confidencialidad, integridad, disponibilidad y resiliencia, la capacidad para restaurar la disponibilidad y acceso a datos tras un incidente, proceso de verificación (que no auditoría), evaluación y valoración de la eficacia de las medidas. En todo caso, al evaluar la adecuación del nivel de seguridad se debe tener particularmente en cuenta los riesgos que presente el tratamiento de datos, como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos y que pudieran ocasionar daños y perjuicios físicos, materiales o inmateriales. Por otra parte, el Considerando

(74), del RGPD indica que: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como, el riesgo para los derechos y libertades de las personas físicas.” En el presente caso, ha quedado acreditado que UNIVERSITAS NEBRISSENSIS dispone en la actualidad de un sistema seguro para el intercambio de documentación con los estudiantes, que incluye la existencia de un procedimiento específico en el portal de los estudiantes, el uso de credenciales y un sistema de doble factor de autenticación, garantizando la adecuación del nivel de seguridad a los riesgos derivados del tratamiento de datos de sus estudiantes. Por tanto, se acuerda el archivo de la presente infracción. IX Adopción de medidas Las infracciones en la materia que nos ocupan pueden dar lugar a la imposición al responsable de la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2.
  1. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/31 ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En tal caso, esta Agencia podrá requerir a la entidad responsable para que, en el plazo que se determine, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derecho del presente acuerdo. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. En atención a las circunstancias analizadas en la presente resolución de procedimiento sancionador se requiere a UNIVERSITAS NEBRISSENSIS para que, en el plazo máximo de 2 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la adopción de las medidas apropiadas para adecuar la documentación solicitada en los procesos de solicitud de expedición de títulos a lo previsto en el principio de minimización de datos regulado en el artículo 5.1
  2. c)del RGPD. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a UNIVERSITAS NEBRISSENSIS, S.A., con NIF A78094158, por una infracción del artículo 5.1.
  3. c)del RGPD, tipificado en el artículo 83.4 del RGPD, una multa de 20.000 euros. SEGUNDO: ORDENAR a UNIVERSITAS NEBRISSENSIS, S.A., con NIF A78094158, que en virtud del artículo 58.2.
  4. d)del RGPD, en el plazo máximo de 2 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/31 - Acreditar la adopción de las medidas apropiadas para adecuar la documentación solicitada en los procesos de solicitud de expedición de títulos a lo previsto en el principio de minimización de datos regulado en el artículo 5.1
  5. c)del RGPD. TERCERO: NOTIFICAR la presente resolución a UNIVERSITAS NEBRISSENSIS, S.A. Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  6. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  7. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/31 escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.