La protección de datos del estudiante en prácticas

Es un tema recurrente a la hora de elaborar los convenios de prácticas entre las universidades y las empresas u otro tipo de entidades a las que los alumnos vayan a acudir a realizar sus prácticas, el de determinar la posición de las dos partes en relación con los datos personales de los alumnos. Del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos - RGPD), se derivan distintas posibilidades.

Una sería la corresponsabilidad regulada en el artículo 26: "1. Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento. Los corresponsables determinarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el presente Reglamento […]". Sin embargo, en el caso de las prácticas universitarias existen obligaciones de las universidades y las entidades colaboradoras que no son comunes y, por tanto, difícilmente pueden determinar conjuntamente los fines y medios de algunos de los tratamientos que han de realizar en relación con los datos personales de los alumnos.

Por poner solo un par de ejemplos, si las prácticas son remuneradas por la empresa, esta tendrá la obligación de dar de alta a los alumnos en la Seguridad Social y ahí difícilmente tendrá algo que decidir la universidad. Lo mismo si la entidad en la que el alumno está haciendo sus prácticas es un hospital: los datos identificativos del alumno podrán acabar figurando en la historia clínica del paciente y, de nuevo, será únicamente el hospital quien decida los objetivos y medios de ese tratamiento. No habrá una determinación conjunta por parte del hospital y la universidad a este respecto.

Algo similar ocurre con la posibilidad de entender que la universidad es responsable del tratamiento y la empresa solo una encargada del tratamiento, conforme a lo dispuesto en el artículo 28 RGPD: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes […].

TE PUEDE INTERESAR

¿Pagar por trabajar? Así será el Estatuto que hará que ser becario deje de ser precario

Paula Soler

3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico […]. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:

a) tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, […];

g) a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros; […]".

Las prácticas universitarias están reguladas fundamentalmente en el Real Decreto 592/2014, de 11 de julio, por el que se regulan las prácticas académicas externas de los estudiantes universitarios. Es este Real Decreto el que establece las obligaciones que han de cumplir las universidades y las entidades colaboradoras, detallando incluso los derechos y deberes tanto del tutor académico como del tutor de la entidad colaboradora.

TE PUEDE INTERESAR

Trabajo contempla que los becarios generen derecho a cobrar el paro

EFE

Así pues, difícilmente se puede defender que en este caso la entidad colaboradora trate los datos personales de los alumnos únicamente siguiendo las instrucciones de las universidades. Igualmente, es prácticamente imposible que la entidad colaboradora pueda proceder a suprimir o devolver los datos personales a la universidad "una vez finalice la prestación de los servicios de tratamiento". Pensemos nuevamente en el caso del hospital u otro tipo de centro sanitario en el que los datos de los alumnos acaben anotados en la historia clínica de un paciente. El hospital tiene que conservar esos datos durante el plazo legal en que ha de conservar la historia clínica y no puede proceder a suprimirlos porque hayan finalizado las prácticas.

Por tanto, en el caso de las prácticas universitarias, la universidad no contrata a otra entidad para que trate datos personales por su cuenta, sino que solicita la colaboración de otras entidades para que sus alumnos puedan realizar prácticas curriculares o extracurriculares, asumiendo ambas entidades las respectivas obligaciones que les impone la normativa reguladora de dichas prácticas.

La Agencia Española de Protección de Datos (AEPD) ya se ha pronunciado en varias ocasiones —a raíz de las consultas efectuadas por diversas universidades— sobre esta cuestión, resolviendo que las entidades colaboradoras en las que los alumnos realicen sus prácticas no pueden ser consideradas encargadas de tratamiento. Tampoco aprecia la AEPD que haya un caso de corresponsabilidad. Así pues, la Agencia considera que la entidad colaboradora es responsable del tratamiento, conforme a la definición que de dicha figura proporciona el artículo 4.7 RGPD: "la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; […]".

Este criterio lo recoge la Agencia en el propio convenio que suscribió en 2019 con una universidad para la realización de prácticas por parte de los alumnos de títulos propios de máster y máster oficiales y que se publicó en el B.O.E. de 25 de octubre de 2019. Señala la cláusula duodécima de este convenio: "[…] La AEPD tiene la consideración de responsable del tratamiento de los datos personales de los alumnos comunicados por la Universidad […], ya que determina los medios y los fines de los tratamientos de datos necesarios para la realización de las prácticas universitarias que constituyen el objeto de este Convenio".

Se trata, pues, de una comunicación o cesión de datos y no de un contrato de encargo de tratamiento o de corresponsabilidad.

* Raquel Sánchez Rodríguez es abogada y Delegada de Protección de Datos de la Universidad Francisco de Vitoria.