DICTAMEN RELATIVO AL VOLCADO DE DATOS PERSONALES DE ALUMNADO AL REGISTRO UNIFICADO DE TITULOS Y CERTIFICADOS DE EUSKERA ANTECEDENTES

Transcripción

1 Exp.: CN DICTAMEN Nº D DICTAMEN RELATIVO AL VOLCADO DE DATOS PERSONALES DE ALUMNADO AL REGISTRO UNIFICADO DE TITULOS Y CERTIFICADOS DE EUSKERA ANTECEDENTES PRIMERO: Por el Vicerrectorado de Euskera y Formación Continua de la Universidad del País Vasco-Euskal Herriko Unibertsitatea (UPV-EHU) se ha solicitado dictamen de la Agencia Vasca de Protección de Datos, en relación con la cuestión descrita en el encabezamiento. En el escrito de solicitud se recoge lo siguiente: La UPV-EHU cumple el Decreto 47/2012, haciendo uso de la facultad otorgada por su artículo 6, de forma que emite a los solicitantes que cumplen las condiciones recogidas en dicho Decreto el certificado que les exime de acreditar los niveles C1 y C2 de euskera. Dicho certificado exime a los solicitantes de tener que acreditar mediante otros títulos los niveles C1 y C2 de euskera en el ámbito de la CAPV. ( ) Cuando los solicitantes de este certificado creado por la UPV-EHU lo presentan en cualquier Administración, la Administración no tiene forma de verificar en el Registro Unificado de Títulos la validez del certificado presentado, porque no figura en él. Hemos recibido una propuesta del Gobierno Vasco para crear una plataforma digital a través de la cual la UPV/EHU pueda enviar los certificados que emite al Registro Unificado de Títulos. ( ) La información relativa a las personas exentas recogida en la plataforma digital se pondría a disposición, por medio del Registro Unificado, de cualquier Administración de la CAPV, tal y como se hace con la relativa a cualquier otro título de acreditación de capacitación lingüística, por ejemplo el de EGA. Es por eso que necesitamos una confirmación de la legalidad de la cesión de los datos solicitados por el Gobierno Vasco, y de que no vulnera la Ley de Protección de Datos Personales. Por lo que, por medio de este mensaje, me dirijo a la Agencia, a fin de solicitar el correspondiente informe jurídico sobre la cesión datos en cuestión. Estamos a su disposición para cualquier aclaración o información. Se adjunta a la consulta escrito de la Dirección de Universidades del Departamento de Educación del Gobierno Vasco donde, entre otras cuestiones, señala lo siguiente Dado que el número de alumnos exentos de esta acreditación es elevado, y con el fin de automatizar la disposición de esta información a la Administración -al igual que sucede con los títulos de EGA y HABE-, hemos estimado pertinente la creación de una plataforma digital en la que su universidad volcaría los datos del alumnado exento de la acreditación, desde abril de 2008 y al finalizar cada curso académico. c/ Beato Tomás de Zumárraga, 71, 3º Vitoria Gasteiz - Tel Fax avpd@avpd.eus -

2 SEGUNDO: El artículo 17.1 de la Ley 2/2004, de 25 de febrero, de Ficheros de Datos de Carácter Personal de Titularidad Pública y de Creación de la Agencia Vasca de Protección de Datos, en su apartado n) atribuye a la Agencia Vasca de Protección de Datos la siguiente función: Atender a las consultas que en materia de protección de datos de carácter personal le formulen las administraciones públicas, instituciones y corporaciones a que se refiere el artículo 2.1 de esta Ley, así como otras personas físicas o jurídicas, en relación con los tratamientos de datos de carácter personal incluidos en el ámbito de aplicación de esta Ley. Corresponde a esta Agencia Vasca de Protección de Datos, en virtud de la normativa citada, la emisión del dictamen en respuesta a la consulta formulada por la Universidad del País Vasco. CONSIDERACIONES I Se propone a esta Agencia Vasca de Protección de Datos realizar una informe sobre volcado de datos de los alumnos de la UPV-EHU exentos de acreditar los títulos C1-C2 de euskera a una plataforma digital. Sin embargo, de la información remitida, no queda claro quién será responsable de la plataforma (UPV-EHU o Departamento de Educación), ni la relación entre la plataforma y el soporte informático por el que se gestiona el Registro Unificado de Títulos y Certificados (regulado por el art. 5 del Decreto 222/2016). Al objeto de resolver dicha consulta se solicitó información al Departamento de Educación del Gobierno Vasco. Con fecha de 4 de mayo de 2017 la Dirección de Política y Coordinación Universitaria del Departamento de Educación remitió escrito de la Dirección de Normalización Lingüística del Departamento de Cultura del Gobierno Vasco que obra en las actuaciones, y en el que manifiesta, en el mismo sentido que la consulta realizada por la UPV-EHU, ser conveniente que los certificados de exención de acreditación de títulos y certificaciones lingüísticas expedidos por la UPV-EHU puedan ser consultados por las Administraciones y los ciudadanos a través del Registro Unificado de Títulos y Certificados de Euskera, y todo ello en virtud del Decreto 222/2012 de creación y regulación del citado registro y del Decreto 47/2012 que regula la exención de acreditación de títulos y certificaciones de euskera. Por las razones antes apuntadas, la Agencia Vasca de Protección de Datos carece de elementos necesarios para realizar un pronunciamiento claro sobre la cuestión planteada, debiendo limitarse a ofrecer criterios que permitan a la UPV-EHU decidir sobre el particular. II Como punto de partida debemos señalar que desde la perspectiva de protección de datos el volcado de datos personales al Registro Unificado de Títulos y Certificados de Euskera (RUTCE) dependiente del Departamento de Cultura y Política Lingüística del Gobierno Vasco constituye una cesión o comunicación de datos personales, definida en el artículo 3 i) de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter 2

3 personal, como Toda revelación de datos realizada a una persona distinta del interesado. Esta cesión debe sujetarse al régimen general establecido en el artículo 11 de la LOPD, donde se establece que los datos de carácter personal objeto de tratamiento sólo podrán ser comunicados a un terceros para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario, con el previo consentimiento del interesado, salvo los supuestos exceptuados por el apartado segundo de este mismo precepto legal, entre ellos, cuando la cesión esté autorizada en una norma con rango de ley (art.11.2 a) de la LOPD). La comunicación de datos pretendida exige, por tanto, o bien consentimiento del interesado o amparo en una norma con rango formal de ley. Analizado el marco jurídico en el que se asienta la comunicación o cesión de datos en el presente caso, debemos comenzar señalando el Decreto 222/2012 de 16 de octubre, de creación y regulación del Registro Unificado de Títulos y Certificaciones de Euskera (RUTCE), tiene por objeto crear un registro unificado por la previa existencia de diversos registros de títulos y certificados de euskera (como son los gestionados por el IVAP, por HABE, por Osakidetza o por el Departamento de Educación), atribuyendo su gestión al Departamento del Gobierno Vasco competente en materia lingüística. El funcionamiento del RUTCE se basará como ya se ha dicho en un soporte informático que permita la gestión y ejecución de sus fines por medios de transmisión electrónica (art. 1.4). El artículo 2 del Decreto 222/2012 establece su ámbito de aplicación, y detalla las Administraciones Públicas y Entidades que podrán realizar consultas en el RUTCE, entre ellas la Universidad del País Vasco. Sin embargo, en el art. 3 del citado Decreto se regula el origen de los datos que componen el registro unificado, sin que se haga mención a las certificaciones de exención de acreditación de títulos lingüísticos en euskera. Y ello a pesar de que el régimen de exención de reconocimiento de estudios oficiales realizados en euskera se reguló con anterioridad al Decreto 222/2012 de creación del RUTCE, en concreto por el Decreto 47/2012, de 3 de abril, de reconocimiento de los estudios oficiales realizados en euskera y de exención de la acreditación con títulos y certificaciones lingüísticas en euskera. Así las cosas, debe concluirse en primer lugar que el marco normativo actual no contempla la posibilidad de que el origen de los datos del RUTCE esté en la UPV-EHU. III Advertido lo anterior, y desde la estricta perspectiva que le es propia a esta Agencia Vasca de Protección de Datos, conviene realizar una serie de observaciones. Atendiendo a la información facilitada, el volcado de datos proyectado se producirá entre Administraciones Públicas. Por tanto, cabría analizar su encaje en el artículo 21 de la LOPD, cuyo tenor literal es el siguiente: Los datos de carácter personal recogidos o elaborados por las Administraciones públicas para el desempeño de sus atribuciones no serán comunicados a otras Administraciones públicas para el ejercicio de competencias diferentes o de competencias que versen sobre materias distintas, o cuando la comunicación tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. 3

4 Como puede verse, este artículo 21 de la LOPD excluye de la necesidad de recabar el consentimiento de los afectados a que se refiere el artículo 11 de la LOPD cuando la comunicación de datos personales se produce entre administraciones públicas, siempre y cuando se produzca para el ejercicio de competencias idénticas o que versen sobre las mismas materias. Con relación a la cesión entre Administraciones ha sido clara la STS, Secc. 3ª, de (RJ 2002, 4689) que examina el art del RD 7/2001, de 12 de enero, por el que se aprueba el reglamento sobre la responsabilidad civil y seguro en la circulación de vehículos a motor. El mencionado precepto prevé la posibilidad de cederse los datos que figuren en sus ficheros entre el Ministerio de Economía, a través del Consorcio de Compensación de Seguros, y el Ministerio del Interior. Afirma la sentencia que «la cesión o comunicación de los datos entre Administraciones Públicas, mientras se lleve a cabo, precisa y únicamente, para alcanzar el fin o uno de los fines a los que obedece la creación misma del fichero y la propia recogida de aquéllos, y no, por tanto, para el ejercicio de competencias diferentes o de competencias que versen sobre materias distintas, queda ya amparada por el consentimiento inicialmente prestado por el titular de los datos para su recogida y tratamiento. Es decir, en tal caso, huelga la necesidad de un nuevo consentimiento cuyo objeto específico sea aquella cesión o comunicación». El régimen jurídico descrito debe servir de criterio a la hora de resolver sobre la conformidad al derecho fundamental de los volcados de datos personales previstos al RUTCE. En este sentido, en la Exposición de Motivos del Decreto 222/2012 de creación de RUTCE se establece que Mediante la presente norma se da cumplimiento a lo previsto en Decreto 297/2010, de 9 de noviembre, respetando asimismo lo dispuesto por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y teniendo en cuenta que en la actualidad existen diversos registros de títulos y certificados de euskera, gestionados por el Instituto Vasco de Administración Pública (IVAP), Departamento de Educación Universidades e Investigación, Instituto de Alfabetización y Reeuskaldunización de Adultos (HABE) y Osakidetza-Servicio Vasco de Salud. La Disposición Final Primera del Decreto 297/2010 a la que se hace referencia, por su parte, establece que Teniendo en cuenta que cada Departamento u Organismo dispone de su propio registro de títulos y certificados de euskera, se adoptarán las medidas destinadas a que esos registros de puedan recoger de forma uniforme y sean de fácil consulta por los organismos públicos. La responsabilidad de gestionar el registro unificado de títulos y certificados de euskera recaerá en el departamento competente en materia de política lingüística. A la complejidad de la cuestión relativa a la cesión o comunicación de datos se une en el presente supuesto, tal y como se plantea, la intervención de la UPV-EHU, el Departamento de Cultura y Política Lingüística y el Departamento de Educación, con competencias diversas. De esta manera, parece que la finalidad del volcado de datos personales en el RUTCE se liga a la necesidad, por una parte, de que los datos que obran en los diferentes registros se puedan recoger de manera uniforme y, por otra, a la de facilitar su consulta a las administraciones con el consentimiento de los titulares de los datos y a los propios interesados. 4

5 A este respecto, con toda la prudencia que aconseja un conocimiento más profundo de este asunto, y al margen de la reforma normativa del RUTCE que pudiera resultar necesaria, esta Agencia considera que si las Administraciones intervinientes en el tratamiento de datos proyectado actuasen en el ejercicio de competencias en un mismo ámbito material, ese tratamiento, sin consentimiento de los afectados, estaría amparado en la excepción prevista en art. 21 de LOPD. En Vitoria-Gasteiz, a 5 de julio