¿Pueden los progenitores consultar las notas de la Universidad de sus hijos mayores de edad, pero económicamente dependientes? O ¿Supone una vulneración de la normativa de la protección de datos?

Ante la Agencia Española de Protección de Datos, se ha planteado por parte de una Universidad, si resulta conforme a la normativa de protección de datos la comunicación a los progenitores que así lo solicitan de datos relativos a las calificaciones, matrículas y becas respecto de los hijos cuando el alumno es económicamente dependiente de sus padres o en otros casos en los que se ha denunciado la desaparición del hijo mayor de edad o éste tiene un problema de salud diagnosticado.

El Reglamento (UE) 2016/679 de 27 de Abr DOUE (Reglamento general europeo de protección de datos (GDPR/RGPD)), aplicable desde el 25 de mayo de 2018, reconoce el derecho a la protección de los datos personales, definidos como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.”

Por lo tanto, los datos relativos a matrículas, calificaciones o becas de los alumnos constituyen datos personales sujetos al RGPD, siendo su comunicación constitutiva de un tratamiento de datos de los previstos en el artículo 4, apartado 2 del RGPD.

La Agencia Española de Protección de Datos explica que, todo tratamiento de datos personales debe encontrarse fundado en alguna de las causas legitimadores previstas en el artículo 6 del RGPD, no siendo comoúnica causa posible el consentimiento del alumno.

“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.”

La Agencia se centra en la causa prevista en la letra f), y cita unas sentencias dictadas por el Tribunal de Justicia de la Unión Europea, interpretando el artículo 7.f de la Directiva 95/46/CE (muy similar a la letra f) del artículo citado del RGPD).

La Sentencia Supranacional Nº C-468/10, C-469/10, TJUE, 24-11-2011 en su apartado (38) ponía de manifiesto que el artículo 7 f) de la Directiva, “establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado.”

Y, en relación con la citada ponderación, el apartado (40) ponía de manifiesto que la misma “dependerá, en principio, de las circunstancias concretas del caso particular de que se trate y en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado”.

Y la Sentencia Supranacional Nº C-13/16, TJUE, 04-05-2017 señalaba respecto al citado artículo que, “fija tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito: primero, que el responsable del tratamiento o el tercero o terceros a quienes se comuniquen los datos persigan un interés legítimo; segundo, que el tratamiento sea necesario para la satisfacción de ese interés legítimo y, tercero, que no prevalezcan los derechos y libertades fundamentales del interesado en la protección de los datos.”

Menciona también la Agencia, otros informes en los que ha examinado la aplicación de la causa legitimadora prevista en el artículo 7f) de la Directiva 95/46.

El primero de ellos versa sobre la consulta realizada por un progenitor que solicitaba los datos de su hijo mayor de edad al que le abona una pensión de alimentos, para aportar esos datos en un procedimiento judicial para modificar dicha pensión.

En dicho informe se establecía que: “el pretendido cesionario desea obtener determinada información para aportar como prueba en un procedimiento judicial, de donde resulta un interés legítimo jurídicamente protegible frente al derecho de protección de datos, que en el presente caso habrá de ceder habida cuenta de la finalidad del tratamiento de datos previsto, que es su aportación al juzgado a los efectos de que por el juez se determine, respecto del fondo del asunto, si la prestación alimenticia ha de ser mantenida.”

Y finalizaba exponiendo que:

“en el presente caso concurre un interés legítimo del solicitante para poder obtener las calificaciones académicas de su hijo mayor de edad, siempre en el bien entendido de que dicha finalidad será exclusivamente la de utilizarlas en un procedimiento judicial para la solicitud de modificación de la pensión de alimentos. Y dicho interés legítimo a la tutela judicial efectiva se entiende que ha de prevalecer sobre el derecho la protección de datos en este caso del hijo; sin perjuicio obviamente de que lo anterior no prejuzga en absoluto la ponderación que en cuanto al fondo del asunto pueda hacer el juez correspondiente acerca de la procedencia o no de dicha pretensión del padre frente al hijo, a la vista de las calificaciones del hijo o de cualquiera otras pruebas que se presenten en el litigio.”

La Agencia Española de Protección de Datos llega a la conclusión de que, habrá que examinarse cada supuesto concreto para determinar si existe un interés legítimo en los progenitores para acceder a los datos de los hijos mayores de edad obrantes en la Universidad, que deba prevalecer sobre los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales.

Examina tres puntos concretos:

1. Si quien solicita los datos persigue un interés legítimo, para lo que será preciso conocer la finalidad perseguida con el acceso a los datos y que tal interés legítimo quede de algún modo acreditado.

2. Si el conocimiento de tales datos resulta necesario para la satisfacción de ese interés legítimo.

3. Si existe una circunstancia en el interesado o afectado por el tratamiento de datos que determine que, aun cuando quien solicita los datos pueda ostentar un interés legítimo, este no prevalece sobre los intereses o los derechos y libertades fundamentales del interesado, para lo cual éste deberá conocer que se han solicitado los datos de modo que pueda oponerse a dicha comunicación conforme a lo previsto en el artículo 21 del RGPD.

Por lo tanto:

⇒ Cuando los progenitores solicitan acceder a los datos relativos a las calificaciones, matrículas y becas de los alumnos mayores de edad, si el alumno fuese dependiente económicamente de los mismos, cabe presumir con carácter general, la existencia de un interés legítimo en dicho acceso, siempre que del ejercicio del derecho de oposición por el interesado no resulte otra cosa.

A estos efectos, lo que resulta determinante es la dependencia económica o el hecho de que se le abone una pensión de alimentos, de modo que si no se da dicha circunstancia en quien pretende el acceso a los datos desaparece la presunción de interés legítimo.

⇒ Cuando la finalidad de la solicitud de los datos sea la modificación de la pensión de alimentos, parecen darse los elementos que permiten que la comunicación de los datos sea conforme a lo previsto en el artículo 6.1.f del RGPD, en tanto que existe un interés legítimo en el progenitor fundado en el derecho que el artículo 152 del Código civil le reconoce, el conocimiento de tales datos resulta necesario para satisfacer ese interés legítimo, toda vez que tal información debe aportarse como prueba en un procedimiento judicial y tal derecho parece prevalecer sobre los intereses y derechos y libertades del interesado, sin que ello obste a que éste pueda ejercer su derecho de oposición a tal tratamiento, debiendo examinarse si las circunstancias alegadas quiebran tal presunción de existencia de un interés legítimo.

⇒ En cuanto a si las circunstancias relativas a la denuncia de la desaparición de un hijo o que éste tenga un problema de salud diagnosticado pueden constituir un interés legítimo, dada la diversidad de supuestos que pueden producirse no puede darse una regla general, así a título de ejemplo, cabe presumir un interés legítimo en conocer los datos de una persona cuando existan indicios de que dicha desaparición no es voluntaria, sea el desaparecido dependiente o no de sus padres, y los datos que se soliciten ayuden en la investigación de las circunstancias de tal desaparición, pero no existirá tal interés legítimo, en principio y sin que se busque una finalidad legítima diferente, en conocer los datos que obren en la Universidad de un mayor de edad independiente económicamente que haya decidido voluntariamente no mantener relaciones con su familia.

FUENTE: Informe Agencia Española de Protección de Datos