Informe Nº 276/019, de 30 de agosto de 2019
Se informa una consulta formulada por el Consejo de Educación Técnico Profesional sobre la posibilidad de contar con una base de datos visible en el sitio web de la institución que contenga identificación de las personas (nombre completo, C.I., título obtenido, nivel que se obtiene con él, plan en que cursó y centro educativo), la situación del trámite del título incluyendo la repartición en que se encuentra y fecha.
Montevideo, 30 de agosto de 2019
Exp. 2019- 340
Consulta de la Prosecretaria del Consejo de Educación Técnico Profesional
Informe N° 276
I- La consulta
Se presenta ante esta Unidad la Prosecretaria del Consejo de Educación Técnico Profesional consultando sobre la posibilidad de contar con una base de datos visible en el sitio web de la institución que contenga: identificación de la persona con nombre completo, cédula de identidad, título obtenido, nivel que se obtiene el mismo, plan en que cursó y centro educativo. Asimismo, el trámite del título con la repartición en que se encuentra y fecha.
Explica que sería un apartado en el sitio web a que se accedería ingresando el nombre de la persona o su cédula de identidad, y se desplegaría una ventana con los datos antes referidos.
En ese marco, se solicita conocer si para instrumentar una base de datos de este tenor, se requiere el previo consentimiento a efectos de proceder a publicar esos datos.
II – Análisis
El caso de marras trata de la legalidad de realizar una comunicación de datos, consistente en la publicación de una base de datos donde surja información de los títulos obtenidos, o su proceso de aprobación, por aquellas personas que cursen educación técnica profesional.
A efectos de su análisis corresponde comenzar por expresar que la comunicación de datos se encuentra definida en el artículo 4° literal b) de la Ley N° 18.331, de 11 de agosto de 2008, el cual indica que es “toda revelación de datos realizada a una persona distinta del titular de los datos”.
Para realizar comunicación de datos, el artículo 17 de la misma norma, en sede de derechos referentes a la comunicación de datos, indica que los datos personales objeto de tratamiento sólo podrán ser comunicados para el cumplimiento de los fines directamente relacionados con interés legítimo del emisor y del destinatario y con el previo consentimiento del titular de los datos. Asimismo, esta norma hace referencia a los casos en los cuáles no es necesario recabar el consentimiento. Sobre este punto, cabe indicar que no resultan de aplicación las excepciones contenidas en los literales a) a d) de la misma norma así como tampoco las excepciones contenidas en el artículo 9° en sede de principio de previo consentimiento informado.
Más específicamente, no aplica ninguna de las excepciones porque no existe una norma de interés general, no son datos de salud y no hay un procedimiento de disociación. Tampoco los datos provienen de fuentes públicas, no provienen del ejercicio de funciones propias de los poderes del estado o en virtud de una obligación legal. No se trata de un listado con datos mínimos, no deriven de una relación contractual, científica o profesional, y tampoco se realiza por personas físicas para su exclusivo personal, individual o doméstico.
En cuanto al consentimiento, éste se encuentra definido en el artículo 4° literal c) como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la cual el titular consienta el tratamiento de datos personales que le concierne”. Por su parte, el artículo 9° de la misma norma regula que el tratamiento regula el consentimiento cuando se haya consentido con esas características. Esta misma norma regula las excepciones en las cuales no es necesario recabarlo, las cuales tampoco resultan aplicables al caso concreto.
Otro aspecto de análisis es el impacto de la publicación en Internet de este tipo de datos. En este sentido, se debe tener en cuenta el principio de veracidad regulado en el artículo 7° de la Ley N° 18.331, indicando que los datos personales que se recogieren a los efectos de su tratamiento deberán ser veraces, adecuados, ecuánimes y no excesivos en relación con la finalidad para la que se obtuvieron.
Por tanto, desde esta perspectiva, al no ser aplicable ninguna de las excepciones, establecidas, ni normas que mandaten su publicación, se estima que no corresponde en consecuencia su publicación sin el consentimiento de los titulares.
Es importante además hace referencia a un caso similar que se resolvió por Dictamen N° 5/2016, de 9 de marzo de 2016, que indica que la información que emane de la escolaridad universitaria contiene datos personales, que los datos que allí lucen requieren previo consentimiento del titular para ser tratados, que la comunicación de los datos contenidos en la escolaridad universitaria no encuadra en ninguna de las excepciones previstas en los literales a) a d) del artículo 17 de la Ley, así como tampoco en las previstas en el artículo 9° de la Ley N° 18.331, de 11 de agosto de 2008.
Se recuerda además, que conforme con las modificaciones introducidas por la Ley N° 19.670, específicamente el nuevo artículo 39, los responsables y encargados de bases de datos deben adoptar las medidas técnicas y organizativas que correspondan para asegurar su protección (privacidad desde el diseño, privacidad por defecto, evaluación de impacto a la protección de datos, etc.). Por su parte, el artículo 40 de la misma norma establece que todas las Entidades Públicas deben designar un delegado de protección de datos personales, quien deberá asesorar en la formulación, diseño, y aplicación de políticas de protección de datos personales. Además, de dar cumplimiento a los demás principios y derechos de la ley como ser registrar la base de datos, dar cumplimiento al derecho de información, entre otros.
III.- Conclusiones
Que en conclusión, a los efectos de la publicación de la información mencionada en internet es necesario recabar el previo consentimiento informado los titulares de los datos, no siendo aplicable ninguna de las excepciones allí previstas.
Además, deberá tratar los datos de acuerdo con los principios de la normativa de protección de datos personales según lo detallado en el presente informe.
Es todo cuanto tengo que informar.
Dra. Flavia Baladán