1/17 Expediente Nº: PS/00310/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 1 de julio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a UNIVERSIDAD A DISTANCIA DE MADRID, S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00310/2021 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, UNIVERSIDAD A DISTANCIA DE MADRID, S.A., con CIF.: A81618894, Grupo educativo CEF-UDIMA, (en adelante, “la parte reclamada”), en virtud de denuncia presentada por D. A.A.A., (en adelante, “la parte reclamante”), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 19/03/21, tuvo entrada en esta Agencia, escrito presentado por el reclamante, en la que indicaba, entre otras, lo siguiente: “El 10/02/21 solicité al responsable del tratamiento (Universidad a Distancia de Madrid UDIMA) a través de la dirección de correo electrónica, ***EMAIL.1 la supresión y oposición al tratamiento de todos mis datos para cualquier tipo de finalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 El día 15/02/2021 recibí correo del Delegado de Protección de Datos de UDIMA en el que se me indicaba explícitamente lo siguiente: “Atendiendo a su solicitud y dado que sus datos personales ya no son necesarios en relación con los fines para los que fueron recogidos o tratados. Hemos procedido a su eliminación de todos nuestros registros". El día 17/03/21 recibí por parte de UDIMA un nuevo correo electrónico con publicidad y el siguiente asunto Feria Virtual de Empleo Invitación a través de la dirección de correo electrónico ***EMAIL.2”. Al escrito de denuncia, se acompaña la siguiente documentación: 1.- Correo electrónico enviado el 10/02/21, desde la dirección del reclamante a la dirección de correo electrónico ***EMAIL.1 solicitando la supresión y oposición del tratamiento de sus datos personales adjuntando copia de su DNI. 2.- Correo electrónico enviado el día 15/02/21, desde la dirección, ***EMAIL.3, a la dirección del correo electrónico del reclamante, indicándole: “Atendiendo a su solicitud y dado que sus datos personales ya no son necesarios en relación con los fines para los que fueron recogidos o tratados. Hemos procedido a su eliminación de todos nuestros registros”. 3.- Correo electrónico enviado el día 17/03/21, desde la dirección, Universidad UDIMA ***EMAIL.2, a la dirección de correo electrónico del reclamante, incluyendo una invitación a la Feria de Empleo organizada los días 23, 24 y 25 de marzo por el Grupo Educativo CEF.- UDIMA. 4.- Correo electrónico enviado el día 14/04/21, desde la dirección, Universidad UDIMA ***EMAIL.2, a la dirección de correo electrónico del reclamante, con el Asunto: “Jornadas gratuitas online UDIMA”. SEGUNDO: Con fecha 30/04/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 14/05/21, se recibió en esta Agencia escrito de contestación al requerimiento, el cual, entre otras, indicaba: Los motivos por los que UDIMA envió los correos electrónicos objeto de la reclamación se encuentran vinculados con la información que se proporciona a todos sus estudiantes y solicitantes de información respecto de las oportunidades de empleo que se presentan ligadas a los estudios que se imparten. En este sentido, a los meros efectos de su conocimiento por la AEPD, y para su valoración de lo acontecido se informa de que UDIMA es la primera universidad privada online de España; reconocida en la Ley 1/2006, de 14 de junio de la Comunidad de Madrid y que, junto con el Centro de Estudios Financieros (CEF) conforma el Grupo Educativo CEF. - UDIMA. Por virtud de esa razón, su metodología está basada en la formación online, haciendo uso prioritario de las nuevas tecnologías de la información y la comunicación. De esta manera, se persigue que, a pesar de las distancias, el alumno se sienta acompañado por el profesor y sus compañeros en todo momento, pretendiendo ser una “universidad cercana” al alumno en todo el proceso de su aprendizaje. De ahí que se hayan instaurado una diversidad de canales de comunicación accesibles a los alumnos como son los siguientes que se identifican en la página de atención al estudiante de la UDIMA (https://www.udima.es/es/atencion.html): • “Línea de atención telefónica. Centro de atención telefónica atendido en horario de 9.00 a 20.00 horas • Foro de Gestión Académica. Canal específico para realizar consultas administrativas a través del Foro de Gestión Académica • Servicio de atención de envíos de Material Didáctico. Canal específico para registrar solicitudes e incidencias en la recepción de material didáctico en papel y libros de texto. • Soporte técnico del aula. Es un servicio desarrollado para realizar consultas o comunicar incidencias sobre aspectos técnicos del funcionamiento del campus, las aulas y la explotación de todos los servicios y aplicaciones asociadas. • Buzón de Sugerencias, quejas y reclamaciones. El Buzón para recoger sugerencias, quejas y reclamaciones tiene por objeto registrar y dejar constancia de las referencias abiertas por usuarios de la UDIMA sobre aspectos relativos a sus servicios y funcionamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 El interesado puede presentar su queja, reclamación o sugerencia en la siguiente dirección ***EMAIL.4 • Defensor Universitario. El Defensor Universitario es una figura que tiene la misión de velar por el respeto a los derechos y libertades de los profesores, estudiantes y personal de Administración y Servicios, respecto de las actuaciones de los diferentes órganos y servicios universitarios. ***URL.1. Otros servicios y programas de apoyo al estudiante a través de los cuales se canalizan otro tipo de consultas: • El Departamento de Atención y Orientación al Estudiante DAOE. • El Departamento de Información, solicitud y tramitación de becas. • El Departamento de Convalidaciones y Reconocimientos de Créditos. Información, solicitud y tramitación de expedientes de reconocimiento. • Programa de tutorización del estudiante de Grado. Es un programa desarrollado por los Departamentos Académicos para acompañamiento y orientación del estudiante de Grado. Cada estudiante de Grado de la UDIMA tiene asignado un tutor de forma permanente desde su ingreso y durante su permanencia en la Universidad. • Programa de asignación de Gestor Académico. Es un programa desarrollado por el Departamento de Gestión Académica para acompañamiento y orientación del estudiante en función de sus necesidades. Varía en función de las necesidades detectadas y de la disponibilidad de los gestores. • La Unidad Técnica de Calidad y Responsabilidad Social Universitaria. La Unidad organizativa responsable de la gestión de la calidad y de la responsabilidad social de la Universidad es la Unidad Técnica de Calidad y RSU. La actividad de la Unidad Técnica de Calidad presta servicio en materia de calidad y responsabilidad social a las distintas áreas organizativas y grupos de interés, atendiendo a los requisitos normativos, las necesidades y requerimientos de sus grupos de interés, así como a los distintos mandatos de la Gerencia, el Rectorado y la Secretaría General a través del Comité de Calidad. ***URL.2” Incluyendo, especialmente: “Bolsa de Trabajo y Emprendedores Es un servicio gratuito para los alumnos de UDIMA, ofrece orientación y acompañamiento en inserción laboral, realización de prácticas en empresas y asesoramiento en emprendimiento y autoempleo***URL.3” 2º) Fundamentación jurídica de dicha motivación: En el afán de dar el mejor servicio posible a todos los alumnos y potenciales alumnos con los que se relaciona UDIMA se tiene establecido un protocolo, en materia de protección de datos, que procura dar respuesta a todas las solicitudes y preguntas que se hagan en el menor lapso de tiempo posible incluyendo, por supuesto, todo lo referente a eventuales ejercicios de derechos por alumnos y solicitantes de información (SDI) y, entre ellos, la gestión a cumplir ante las manifestaciones que se reciban manifestando el deseo de no recibir publicidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 Las solicitudes de no recibir publicidad se incluyen, una vez comprobado todo lo relacionado con la solicitud particular, en una específica lista de exclusión de publicidad. En cada ocasión que se lleva a cabo una campaña, y con carácter previo a su lanzamiento, se cruza el listado de alumnos y SDI con la lista de exclusión referida a los fines de excluir a quienes hayan ejercitado su derecho en este sentido. No obstante, se ha valorado internamente que el ejercicio de estos derechos por alumnos y SDI no puede ser objeto de un aparente trato de peor condición hacia los mismos, en cuanto al beneficio de los servicios sociales que se prestan por UDIMA, por razón precisamente de haber ejercitado sus derechos. Este es el caso de los servicios gratuitos que se prestan a todos los alumnos y SDI, señaladamente en materia de acceso al empleo, pues se entiende que iría contra la buena fe que debe guardar UDIMA con las personas con las que se relaciona si porque estas solicitaran no recibir publicidad se las excluyera de las informaciones relativas a las oportunidades de empleo. Y, esto fue lo ocurrido en el caso objeto de la reclamación. 3º) Se aporta en este apartado la cronología de acontecimientos y las evidencias referentes a la información facilitada: A) se tramitó el ejercicio de derechos por el interesado del siguiente modo: - El 10 de febrero de 2021 14:31: Se recibe solicitud de SUPRESIÓN y OPOSICIÓN al tratamiento de todos sus datos personales. - El mismo 10 de febrero de 2021 14:39: se inicia el protocolo de verificación de datos, advirtiéndose primeramente que en CEF, no existe registro de esa información. - El 11 de febrero de 2021 06:55: se inician los trámites para solicitar al departamento, que gestiona los comunicados de correo electrónico, que acredite el origen de los datos del interesado. De lo que se deduce que los datos proceden de una SDI de UDIMA. - El 11 de febrero de 2021 09:48: una vez conocida la ubicación de los datos, se solicita al responsable de sistemas la eliminación de estos, también se identifica a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 persona del departamento comercial que se le asigna, el seguimiento del interesado, para que elimine la información personal que disponga del mismo. - El mismo 11 de febrero de 2021 09:51: se confirma con el responsable de sistemas de CEF, que ya se ha tramitado el procedimiento de ejercicios de los derechos del interesado, incidiendo que el origen de estos datos se corresponde a UDIMA, indicando claramente que se ha contactado con el responsable de sistema y comercial y se cierra el protocolo con servicios informáticos CEF. - El 12 de febrero de 2021 17:34: dado de que se ha iniciado el protocolo de Ejercicios de Derechos en materia de protección de datos, se advierte que el interesado, tiene junto con su solicitud de información, una solicitud de reconocimiento de créditos, por lo tanto, se necesita el visto bueno de este trámite antes de eliminarlo por completo, haciendo especial mención, a la posibilidad de tener la información en papel. - El 15 de febrero de 2021 12:17 Se confirma desde el departamento de Reconocimiento de Créditos, que no se guarda ningún dato del interesado, así como la confirmación de la eliminación del interesado, del CRM y de la base de datos de la web. - El mismo 15 de febrero de 2021 15:13: Una vez recibida la confirmación de la eliminación de los datos, se procede a contestar al interesado enviándosele correo electrónico B) Por otra parte, en este supuesto concreto, se gestionaba la notificación de información a alumnos y a SDI de grados, sucediendo que en enero se tuvieron que preparar las campañas del cuatrimestre unificadas por estar los servicios afectados por las circunstancias presentes que impone la pandemia por el COVID, haciéndose captura del CRM Sugar de grados en el que figuraba registrado el reclamante. Ya que la próxima comunicación se refería a información de interés para el alumnado referida a tema de empleo, las comunicaciones números XXXX y XXXX iban etiquetadas como “No promos” y, en consecuencia, con lo dicho en este escrito, fueron enviadas. CONCLUSIÓN: Los hechos que han dado lugar a la presente reclamación tuvieron lugar al solaparse las fechas del procedimiento de gestión de ejercicio de derechos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 protección de datos y de los procesos informativos que proporciona UDIMA a sus alumnos y SDI de grados y máster. Cronológicamente, como ya se expresó, en enero se prepararon las comunicaciones informativas que fueron calificadas como no promocionales. En este listado figuraba el reclamante como SDI de Grado de Derecho. Esa calificación como “no promo” unida a las alteraciones causadas en la gestión ordinaria por el estado de pandemia hizo que la comprobación del listado de destinatarios se pospusiera. Mientras tanto, el procedimiento de ejercicio de derechos de protección de datos siguió sus plazos según los protocolos internos. La consecuencia fue que el reconocimiento de derechos efectuado en febrero no pudo tener reflejo en el listado de enero y de ahí el desfase. La intención fue procurar satisfacer al interesado tratando su reclamación con la mayor diligencia y rapidez, comunicándoselo de seguido y cumplir con la política de máximo cuidado de las personas y con el principio de la buena fe en las relaciones que se mantienen con las mismas, lo que condujo a que no se privara al interesado de información que se entendió le era favorable por ser gratuita y referirse a oportunidades de empleo. Por supuesto, no se persiguió la obtención de ningún beneficio y se trató de un hecho puntual en el tiempo que resultó influido por las circunstancias concurrentes. Por otra parte, no se ha recibido ninguna otra reclamación fuera de la comunicada por la AEPD. Hay que subrayar que tras el reconocimiento de los derechos se adoptaron todas las medidas adecuadas para darles efectividad, de modo que, actualmente, los mismos han de darse por satisfechos. Finalmente, se hace el ofrecimiento, si la AEPD lo estimara oportuno, de enviar comunicación al reclamante informándole de lo sucedido, así como de la garantía de la efectividad de sus derechos. En virtud de lo expuesto, SOLICITO que, teniendo por presentado, en tiempo y forma, el presente escrito y las advertencias hechas en atención al objeto de la notificación, tenga por cumplida la solicitud de información efectuada. FUNDAMENTOS DE DERECHO I- Competencia: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 - Sobre el ejercicio de los derechos reconocidos en el RGPD y el tratamiento de datos personales: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. - Sobre el envío de correos electrónicos publicitarios sin consentimiento: De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II En el presente caso, la parte reclamada expone que el motivo por el que fueron enviados al reclamante los dos correos electrónicos de tipo promocional en cuestión es su vinculación con la información que se proporciona a todos sus estudiantes y solicitantes de información respecto de las oportunidades de empleo que se presentan ligadas a los estudios que se imparten. Además, informa de que cuenta con una específica lista de exclusión de publicidad, la cual es tenida en cuenta, según su versión, en cada ocasión que se lleva a cabo una campaña (con carácter previo a su lanzamiento), pero que: “ha valorado internamente que el ejercicio de derechos de protección de datos por alumnos y solicitantes de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 información no puede suponerles un aparente trato de peor condición en cuanto a los beneficios de los servicios sociales que se prestan por su parte”, entendiendo que, “si excluyera a esas personas de informaciones relativas a oportunidades de empleo cuando han solicitado no recibir publicidad, entonces iría contra la buena fe que debe guardar con las personas con las que se relaciona”. No obstante lo anterior, la reclamada expresa que, en relación con el caso concreto reclamado, se gestionó la información a alumnos y solicitantes de información de tal manera que, en enero de 2021, se prepararon las campañas del cuatrimestre unificadas por estar los servicios afectados por las circunstancias derivadas de la pandemia de COVID-19 y añade que, como entendía que la información era de interés para el alumnado y los solicitantes de información, remitió las dos comunicaciones electrónicas reclamadas categorizadas como “no promocionales”. La reclamada expresa que los hechos acontecidos que dieron lugar a la reclamación tuvieron lugar al solaparse las fechas del procedimiento de gestión de ejercicio de derechos de protección de datos y de los procesos informativos dirigidos a sus alumnos y solicitantes de información e insiste en que en enero de 2021 se prepararon las comunicaciones informativas calificadas como no promocionales, entre cuyos destinatarios se encontraba el reclamante como solicitante de información, quien ejerció sus derechos de protección de datos en febrero de 2021 y acabó recibiendo las comunicaciones en marzo de 2021 y en abril de 2021 y señala a las alteraciones causadas en la gestión ordinaria por el estado de la pandemia de COVID-19 como motivo por el que se pospuso la comprobación de los destinatarios a los que se dirigían las comunicaciones. III - Sobre el ejercicio de los derechos reconocidos en el RGPD, En este sentido, el artículo 12 del RGPD, establecer que: 1.- El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2.El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3.El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. Por su parte, el artículo 17.1 del mismo RGPD, respecto del “Derecho de supresión («el derecho al olvido»)”, establece que: 1.El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.