Política de privacidad

Introdución

A Universidade de Vigo asume a responsabilidade de cumprir coa lexislación vixente en materia de protección de datos. Entre os seus obxectivos ten garantir a protección da información e tratamento de datos de carácter persoal a estudantes, profesores, persoal de administración e servizos e en xeral, calquera outro cidadán que nalgún momento tivo relación coa Universidade de Vigo.

A protección das persoas físicas en relación co tratamento de datos persoais é un dereito fundamental protexido polo artigo 18.4 da Constitución Española. O dereito fundamental á protección de datos recoñece as persoas físicas a facultade de controlar os seus datos persoais e á capacidade de dispoñer e decidir sobre os mesmos.

O Regulamento (UE) 2016/679 do Parlamento Europeo e do Consello de 27 de abril de 2016 relativo á protección das persoas físicas no que respecta ao tratamento de datos persoais e á libre circulación destes datos (RXPD) establece os principios e normas que garanten  o contido esencial do dereito fundamental á protección, reforzando a seguridade xurídica e a transparencia.

A Lei orgánica 3/2018, de 5 de decembro, de protección de datos persoais e garantía dos dereitos dixitais (LOPDGDD) dispón a adaptación do ordenamento español ao RXPD preservando o principio de seguridade xurídica e procurando unha regulación interna complementaria para facer plenamente efectiva a aplicación do RXPD.

Responsable do Tratamento

O Responsable do Tratamento é a persoa física ou xurídica, autoridade pública, servizo ou outro organismo que, so ou xunto con outros, determina os fins e medios do tratamento. A Universidade de Vigo é a responsable do tratamento.

A Universidade de Vigo aplicará medidas técnicas e organizativas apropiadas a fin de garantir e poder demostrar que o tratamento é conforme coa normativa de protección de datos, tendo en conta a natureza, ámbito, o contexto e os fins do tratamento así como os riscos para os dereitos e liberdades das persoas físicas.

Delegada de Protección de Datos

O/a Delegado/a de Protección de Datos (DPD) é unha figura de obrigatoria aplicación polo Regulamento Europeo Xeral de Protección de Datos (RXPD) e a Lei orgánica 3/2018, de protección de datos persoais e garantía dos dereitos dixitais (LOPDGDD).

Pode ser unha persoa física ou xurídica que desempeñe as súas funcións no marco dun contrato de servizos, ou poderá formar parte do persoal da Universidade de Vigo que neste último caso non será destituído nin sancionado polo que respecta ao desempeño das súas funcións como DPD, salvo que incorrera en dolo ou neglixencia grave no seu exercicio.

Será designado atendendo as súas cualificacións profesionais e, en particular, aos seus coñecementos especializados do Dereito e a práctica en materia de protección de datos.

Recibirá do responsable todos os recursos necesarios para o desenvolvemento da súa actividade. Neste sentido tamén terá acceso aos datos persoais e procesos de tratamento.

O/A DPD poderá desempeñar outras funcións e cometidos e o responsable garantirá que ditas funcións non dean lugar a conflito de intereses.

Os seus datos de contacto deben ser públicos. As persoas interesadas poderán poñerse en contacto co/coa DPD no que respecta a tódalas cuestións relativas ao tratamento dos seus datos persoais e ao exercicio dos seus dereitos ao amparo do previsto no RXPD e na LOPDGDD.

Así mesmo, o responsable garantirá que o/a DPD non reciba ningunha instrución polo que dispón de total autonomía no exercicio das súas funcións como DPD e manterá unha relación fluída co Reitor e co equipo de goberno para mellorar o servizo público encomendado.

O/A DPD ten como mínimo as seguintes funcións:

• Informar e asesorar ao responsable ou ao encargado do tratamento e aos empregados que se ocupen do tratamento das obrigas que lles incumben en virtude da normativa de protección de datos.
• Supervisar o cumprimento do disposto na normativa de protección de datos e na política do responsable e do encargado do tratamento en materia de protección de datos persoais, incluída a asignación de responsabilidades, a concienciación e formación do persoal que participa nas operacións de tratamento e as auditorías correspondentes.
• Ofrecer o asesoramento que se lle solicite sobre a avaliación de impacto relativa á protección de datos e supervisar a súa aplicación conforme a  normativa de protección de datos.
• Cooperar coa Axencia Española de Protección de Datos (AEPD).
• Actuar como punto de contacto da AEPD para cuestións relativas ao tratamento, incluída a consulta previa a que se refire a normativa sobre protección de datos e realizar consultas, no seu caso, sobre calquera outro asunto.
• Documentar e comunicar aos órganos de administración e dirección do responsable e do encargado de tratamento a existencia de vulneracións relevantes en materia de protección de datos.

Encargado do Tratamento

O Encargado de Tratamento é a persoa física ou xurídica, autoridade pública, servizo ou outro organismo que trate datos persoais por conta da Universidade de Vigo.

Correspóndelle á Universidade de Vigo decidir sobre a finalidade e os usos da información, mentres que o encargado do tratamento debe cumprir coas instrucións que lle encomenda a Universidade para un determinado servizo respecto ao correcto tratamento dos datos persoais aos que poida ter acceso como consecuencia da prestación deste servizo.

A Universidade de Vigo debe elixir un encargado que ofreza garantías suficientes respecto á implantación e mantemento das medidas técnicas e organizativas apropiadas e que garante a protección dos dereitos das persoas afectadas. A adhesión a códigos de conduta ou a posesión dun certificado de protección de datos pode servir como mecanismo de proba.

O Encargado de Tratamento pode adoptar todas as decisións organizativas e operacionais necesarias para a prestación do servizo contratado, pero en ningún caso pode variar  as finalidades e os usos dos datos nin os pode utilizar para as súas propias finalidades.

A regulación da relación entre o responsable e o encargado do tratamento debe establecerse a través dun contrato ou dun acto xurídico unilateral do responsable do tratamento e debe constar por escrito, inclusive en formato electrónico. O Encargado do Tratamento pode realizar todos os tratamentos, automatizados ou non, que o responsable do tratamento lle encomende formalmente no acordo que se adopte, respectando a normativa de protección de datos e os principios relativos ao tratamento sinalados no artigo 5 do RXPD.

Non existe a obriga de informar respecto á contratación dun encargado de tratamento.

O contido mínimo dun contrato ou acordo de encargado de tratamento é:

• As instrucións do responsable do tratamento
• Deber de confidencialidade
• As medidas de seguridade
• Réxime da subcontratación
• Os dereitos dos interesados
• A colaboración no cumprimento das obrigas do responsable
• Destino dos datos ao finalizar a prestación
• A colaboración co responsable para demostrar o cumprimento
• A identificación do encargado do tratamento

A Universidade de Vigo non perde a consideración de responsable do tratamento cando contrata cun encargado de tratamento e continúa sendo responsable do correcto tratamento dos datos persoais e da garantía dos dereitos dos afectados.

Finalidade

A Universidade de Vigo unicamente recollerá os datos persoais estritamente necesarios en relación cos fins para os que sexan tratados, de acordo cos principios dispostos no artigo 5 do RXPD e facilitará ás persoas interesadas, no momento en que se obteñan os datos persoais, a información necesaria para garantir un tratamento leal e transparente, de acordo co disposto nos artigos 13 e 14 do RXPD

As finalidades do tratamento están amparadas no interese público e para a prestación do servizo de educación superior que ten encomendada a Universidade de Vigo a través da Lei Orgánica 6/2001, de 21 de decembro, de Universidades e restante normativa vinculada.

Os datos que recolle a Universidade de Vigo serven aos fins directamente relacionados coas súas competencias e funcións e neste sentido os recollerá, tratará, almacenará e utilizará para levar a cabo as súas relacións co alumnado, antigo alumnado, persoal docente e investigador, persoal de administración e servizos, outras persoas usuarias dos servizos que presta, así como provedores e outras persoas físicas ou xurídicas. Ditos datos serán tratados de forma confidencial e quedarán incorporados á correspondente actividade de tratamento titularidade da Universidade de Vigo.
Principios de lexitimación

A Universidade de Vigo está lexitimada para o tratamento da información persoal de acordo co principio de licitude sinalado no artigo 6 do RXPD e, principalmente para:

• O cumprimento dunha misión realizada en interese público ou no exercicio de poderes públicos. A  maioría dos tratamentos de datos persoais da Universidade de Vigo realízanse conforme a esta base de lexitimación. A Universidade de Vigo forma parte do sector público institucional e, polo tanto, o tratamento dos datos persoais é necesario para a prestación do servizo público de educación superior conferidos pola Lei orgánica 6/2001, de 21 de decembro, de universidades, polos seus Estatutos e polo resto da normativa propia.
• O cumprimento das diferentes obrigas legais. Hai un número relevante de tratamentos aplicables á Universidade de Vigo para a realización das súas finalidades baseados na aplicación  da normativa do Dereito español ou da Unión Europea.
• A execución dun contrato no que a persoa interesada sexa parte ou para a aplicación a pedimento desta de medidas precontractuais.
• Excepcionalmente, pode ter que realizar tratamentos para protexer intereses vitais das persoas interesadas ou doutras persoas físicas.
• O cumprimento dun interese lexítimo perseguido polo responsable ou por un terceiro: por exemplo, para o correcto mantemento das relacións dos membros da comunidade universitaria coa Universidade de Vigo.
• Por último, se non se compren os requisitos de lexitimación anteriores, a Universidade de Vigo tratará datos persoais para un ou varios fins específicos cando as persoas interesadas outorguen o seu consentimento.

Conservación de datos

Os datos persoais proporcionados conservaranse durante o tempo necesario para cumprir coa finalidade para a que se recollen e para determinar as posibles responsabilidades que se puideran derivar da mesma finalidade, ademais dos períodos establecidos na normativa de arquivos e documentación.

Comunicación de datos

Segundo o tipo de actividades de tratamento de datos que se realicen, a Universidade de Vigo poderá estar obrigada a comunicar información relativa ás persoas interesadas ás distintas Institucións, Organismos ou Entidades públicas ou privadas, incluíndo destinatarios en terceiros países ou organizacións internacionais.
No Rexistro de Actividades de Tratamento se identifican as comunicacións previstas.
Igualmente, os datos persoais poderán ser comunicados a Empresas ou Entidades Colaboradoras, por exemplo para a realización de prácticas externas, de xeito que se non hai autorización a comunicación dos datos nestes supostos, non se poderá prestar o servizo.

Transferencias internacionais de datos

A información persoal que recolle a Universidade de Vigo reside en España, pero é posible que poida ser transferida a países non pertencentes á Unión Europea, por exemplo, no caso de algúns programas de intercambio. De ser así,  a Universidade de Vigo comprométese a cumprir cos requisitos legais establecidos pola normativa española e da Unión Europea.

En concreto, os datos poderán ser comunicados fora do Espazo Económico Europeo, nos termos sinalados nos artigos 45 ao 50 do RXPD:

• Transferencias baseadas nunha decisión de adecuación. A un terceiro país ou organización territorial cando a Comisión decidira que o terceiro país, un territorio ou un ou varios sectores específicos dese terceiro país, ou a organización internacional de que se trate, garante un nivel de protección adecuado. Dita transferencia non requirirá ningunha autorización específica.
• Transferencias mediante garantías adecuadas. A falta de decisión adecuada, a Universidade de Vigo ou o Encargado de Tratamento so poderá transmitir datos persoais a un terceiro país ou organización internacional se ofrece as garantías adecuadas que poderán ser aportadas por un instrumento xuridicamente vinculante, por normas corporativas vinculantes, por cláusulas tipo de protección de datos adoptadas pola Comisión ou por unha autoridade de control, por un código de conduta ou por un mecanismo de certificación.
• A falta de decisión de adecuación y de garantías: unicamente poderán realizarse se cumpre algunha das seguintes condicións: O interesado deu explicitamente o seu consentimento, a transferencia sexa necesaria para a execución dun contrato entre o interesado e o responsable do tratamento ou para a execución de medidas precontractuais adoptadas a solicitude do interesado, a transferencia sexa necesaria por razóns importantes de interese público, a transferencia sexa necesaria para a formulación, o exercicio ou a defensa de reclamacións, a transferencia sexa necesaria para protexer os intereses vitais do interesado u doutras persoas cando o interesado estea física ou xuridicamente incapacitado para dar o seu consentimento ou a transferencia se realice desde un rexistro público que teña por obxecto facilitar información ao público e estea aberto á consulta do público en xeral ou de calquera persoa que poida acreditar un interese lexítimo, pero so na medida en que se cumpran, en cada caso particular, as condicións que establece o Dereito da Unión ou dos Estados membros para a consulta.

Fóra destes supostos deberase obter autorización previa da AEPD.

Seguridade da información

A Universidade de Vigo comprométese a protexer os datos persoais aplicando as medidas de seguridade necesarias de acordo coa súa Política de Seguridade da Información. Terá en conta o estado da técnica, os custes de aplicación e a natureza, o alcance, o contexto e os fins do tratamento, así como os riscos de probabilidade e gravidade variables para os dereitos e liberdades das persoas interesadas. Tanto a Universidade de Vigo como os diferentes encargados do tratamento aplicarán medidas técnicas e organizativas apropiadas para garantir un nivel de seguridade adecuado ao risco e conforme ao recollido no artigo 32 do RXPD.

A Vicerreitoría de Planificación e Sostibilidade é a responsable do deseño da política de seguridade na Universidade de Vigo e da implantación do Esquema Nacional de Seguridade.