La normativa de protecció de dades garanteix que l'interessat pot conèixer quines dades personals estan registrades en els fitxers de la Universitat i demanar-ne, si escau, la modificació, cancel·lació de les seves dades o manifestar la seva oposició al tractament d'aquestes mitjançant l'exercici dels drets d'accés, rectificació, cancel·lació i oposició (ARCO) .

Aquests drets es troben regulats als articles 15 i següents de la Llei orgànica 15/1999, de 13 de desembre, de Protecció de dades de caràcter personal (LOPD), i als títols III, IV i IX del Reial Decret 1720/2007, de 21 de desembre, pel qual s'aprova el Reglament de desenvolupament de la Llei orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal (RDLOPD).

La resolució de 15 de juny de 2011 de modificació de la resolució de data 26 de juny de 2003, de mesures organitzatives sobre la protecció de dades de caràcter personal a la UPF, per tal de donar més facilitats als interessats en exercir els drets ARCO, unifica en el gerent el lloc pel seu exercici i resolució.

D'altra banda, la instrucció 1/2009, de 10 de febrer de 2009, sobre el tractament de dades de caràcter personal mitjançant càmeres amb fins de videovigilància estableix un procediment específic per a l'exercici dels drets d'accés, rectificació, cancel·lació i oposició quan les dades han estat captades per aquest sistema.

És per això, que en ús de les competències que m'atorga l'article 52 dels Estatuts de la Universitat Pompeu Fabra,

HE RESOLT:

Primer. Sobre l'exercici dels drets

1. Els drets d'accés, rectificació, cancel·lació i oposició (drets ARCO) són personalíssims, per la qual cosa només els pot exercir la persona afectada o el seu representant legal quan l'afectat es troba en situació d'incapacitat o minoria d'edat que li impossibiliti l'exercici personal d'aquests drets. També es podran exercir mitjançant representant voluntari expressament designat per a l'exercici del dret. L'acreditació de la representació es farà en els termes previstos a l'article tercer d'aquesta resolució.

2. L'exercici dels drets d'accés, rectificació, cancel·lació i oposició és gratuït.

Segon. Lloc d'exercici dels drets

Els drets ARCO s'exerceixen davant el gerent de la Universitat com a responsable dels fitxers de dades personals de la UPF.

Tercer. Sol·licituds

1. Les sol·licituds es formalitzaran per escrit presentat davant el Registre General de la Universitat o per qualsevol dels mitjans previstos a l'article 38.4 de la Llei 30/1992, de 26 de novembre, de Règim Jurídic de les Administracions públiques i del Procediment administratiu comú, adreçada al gerent de la UPF.

2. Les sol·licituds han d'incloure les dades següents:

• Nom i cognoms de l'interessat.
• Fotocòpia del document que acrediti la identitat de la persona afectada i la identitat del representant, si n'hi ha (DNI, passaport o document equivalent), o instruments electrònics anàlegs (per exemple, certificat digital).
• Document o instrument electrònic acreditatiu de la representació, si és el cas.
• Nom del fitxer de dades personals si es coneix.
• Petició en què es concreta la sol·licitud. Cal indicar de forma clara i detallada el que es demana i s'hi han de fer constar els motius fonamentats i legítims.
• Adreça, data i signatura del sol·licitant o del seu representant.
• Documents acreditatius de la petició que formula, si escau.

En el cas dels membres de la comunitat universitària la universitat podrà no exigir fotocòpia del DNI o document identificatiu equivalent si ja en disposa d'una còpia.

En el cas de l'exercici dels ARCO de dades obtingudes pels sistemes de videovigilància a la sol·licitud cal indicar, a més, el lloc, la data i l'hora aproximada, en franges no superiors a dues hores, en què la seva imatge va poder ser captada. La sol·licitud s'ha d'acompanyar d'una imatge de la persona sol·licitant que correspongui al període en què es va captar, de manera que permeti identificar-la. En els sistemes de videovigilància que enregistrin la veu, el dret d'accés es pot exercir aportant una gravació de la veu de la persona afectada.

3. En el cas d'actuar mitjançant representant caldrà presentar:

a) Document d'apoderament original que derivi directament i inequívocament de l'interessat, titular del dret, amb la signatura d'aquest últim autenticada a través de mitjà autoritzat en Dret.
b) Escriptura pública d'apoderament autoritzada per un notari públic.

En el cas de representant voluntari haurà de quedar acreditada, a més, la identitat del representat mitjançant l'aportació de còpia dels seu DNI o document equivalent, i la representació expressa que li ha conferit en els termes suara esmentats.

En tot cas, l'acreditació de la representació es podrà realitzar per qualsevol mitjà vàlid en dret que deixi constància fidedigna, o mitjançant declaració en compareixença personal de l'interessat.

La manca d'aquesta acreditació comportarà la denegació de la sol·licitud.

4. En les sol·licituds de rectificació cal indicar la dada que és errònia i la correcció que s'hi ha de fer, i s'ha d'acompanyar de la documentació justificativa de la rectificació sol·licitada.

5. La Universitat posarà a disposició dels interessats models de sol·licitud per a cada tipus de dret.

6. En el termini de dos (2) dies des de la recepció de la sol·licitud es comprovarà el compliment dels requisits generals de capacitat de l'interessat i d'adequació de la sol·licitud. En el cas que la sol·licitud no compleixi els requisits generals establerts, prèvia consulta al Servei d'Assessoria Jurídica, es notificarà a l'interessat dins del termini màxim de deu (10) dies des de la recepció de la sol·licitud en el cas del dret d'accés i dins el termini màxim de set (7) dies en el cas de cancel·lació o rectificació, perquè l'interessat, si escau, esmeni els defectes o adjunti els documents preceptius interposant nova sol·licitud en el termini de deu (10) dies.

En el cas dels sistemes de videovigilància, si la imatge o la veu aportades no ofereix prou definició o elements per permetre la identificació, s'atorgarà un termini d'esmena de deu (10) dies per poder aportar una altra imatge o gravació de la veu.

7. Si els defectes no fossin esmenats en el termini de deu (10) dies, la sol·licitud d'accés, rectificació, oposició o cancel·lació es considerarà que l'interessat desisteix de la seva sol·licitud.

8. Es rebutjarà la sol·licitud en els casos següents:

a) Quan la sol·licitud sigui presentada per una persona jurídica.
b) Quan el sol·licitant sigui una persona diferent de l'interessat o del seu representant.
c) Quan s'hagi exercit el dret d'accés en els últims dotze mesos, llevat que s'acrediti un interès legítim.
d) En el cas del dret de rectificació, quan no s'acompanyi de la documentació acreditativa de la rectificació sol·licitada.
e) Quan es tracti de sol·licituds genèriques, o que no incloguin les dades estipulades a l'apartat 2.

En el cas de la lletra a) i c) es denegarà la sol·licitud. En la resta de casos s'atorgarà a l'interessat el període de reparament d'esmenes previst a l'apartat 6 d'aquest article.

Quart. Òrgans competents i recursos

1. L'òrgan de la Universitat competent per a resoldre sobre l'exercici dels drets ARCO és el gerent de la UPF, com a responsable dels fitxers de dades de caràcter personal de la UPF.

2. Contra les resolucions del gerent es podrà interposar recurs d'alçada davant el rector de la Universitat Pompeu Fabra en el termini d'un mes a comptar de l'endemà de la notificació.

En tot cas, especialment en casos de denegació dels drets exercits, s'ha d'informar l'afectat del seu dret a demanar-ne la tutela de l'Autoritat Catalana de Protecció de Dades, conforme al que disposa l'article 16 de la Llei 32/2010, de l'1 octubre, de l'Autoritat Catalana de Protecció de Dades.

3. Transcorregut els terminis previstos en aquesta resolució sense que s'hagi emès resolució expressa s'entendrà desestimada la sol·licitud.

Cinquè. Dret d'accés

1. Els interessats poden exercir el dret d'accés per sol·licitar i obtenir informació de les seves dades de caràcter personal incloses als fitxers de la UPF, l'origen de les dades, així com les comunicacions realitzades o que es prevegin fer. En el moment de formular la sol·licitud, l'interessat pot optar pels sistemes de consulta següents, sempre que la configuració del fitxer ho permeti:

• Visualització en pantalla.
• Escrit, còpia o fotocòpia tramesa per correu, certificat o no. 
• Qualsevol altre sistema que sigui adequat a la configuració o implantació material del fitxer o a la naturalesa del tractament que ofereixi la universitat, i permeti l'acreditació de l'enviament i la recepció.

Si s'ofereix un determinat sistema per a fer efectiu el dret d'accés i l'afectat el rebutja, aquell no respondrà pels possibles riscos que per a la seguretat de la informació pogués derivar-se de la elecció. Igualment, si se li ofereix un procediment per a fer efectiu el dret d'accés i l'afectat exigís que es materialitzi per mitjà d'un procediment que impliqui un cost desproporcionat, amb els mateixos efectes i amb  garantia de la  mateixa seguretat que el procediment ofert, seran a compte de l'afectat les despeses derivades de la seva gestió.

En qualsevol cas, la universitat podrà restringir, els sistemes de consulta en funció de la configuració o implantació material del fitxer o de la naturalesa del tractament, sempre que el que s'ofereixi a l'afectat sigui gratuït i asseguri la comunicació escrita si aquest ho exigeix.

2. La informació que la Universitat proporcioni a l'interessat, qualsevol que sigui el suport en què sigui facilitada, es donarà en forma llegible i intel·ligible, prèvia transcripció en clar de les dades del fitxer, si escau, i comprendrà totes les dades de base de l'interessat que siguin accessibles, els resultants de qualsevol elaboració o procés informàtic, així com l'origen de les dades, els cessionaris dels mateixos i l'especificació dels concrets usos i finalitats per als quals es van emmagatzemar les dades. En el cas que les dades provinguin de fonts diverses, hauran d'especificar les mateixes identificant la informació que prové de cadascuna d'elles.

3. El dret d'accés es pot exercir en qualsevol moment.

4. Les sol·licituds d'accés es resoldran en el termini màxim d'un mes a comptar des de la recepció de la sol·licitud o des del dia en què, si és el cas, s'hagin esmenat els errors de la sol·licitud.

En el cas que no es disposi de dades de l'interessat, se li comunicarà igualment en el termini d'un mes.

5. Es pot denegar el dret d'accés a les dades de caràcter personal quan ja s'ha exercit en els dotze mesos anteriors a la sol·licitud, llevat que s'acrediti un interès legítim a aquest efecte. També es pot denegar l'accés en els supòsits en què ho prevegi una llei o una norma de dret comunitari aplicable directament o quan aquesta llei o norma impedeixi revelar als afectats el tractament de les dades a què es refereixi l'accés.

6. S'haurà de deixar sempre constància de l'exercici del dret d'accés per part de l'interessat. En el cas de les visualitzacions en pantalla, es guardarà impressió de les pantalles consultades signades per l'interessat.

7. Les comunicacions entre la universitat i l'interessat es faran mitjançant notificació administrativa.

Sisè. Drets de rectificació, cancel·lació i oposició

1. Quan l'interessat tingui constància o coneixement que les seves dades són inexactes, incompletes, inadequades o excessives, pot sol·licitar que es rectifiquin o, en el seu cas i si procedeix, que es cancel·lin. L'interessat també pot demanar que no es porti a terme o que cessi el tractament de les seves dades de caràcter personal (oposició).

2. La cancel·lació no implica necessàriament una eliminació o destrucció de les dades, sinó que es bloquejaran i es conservaran únicament per tenir-les a disposició de les administracions públiques, els jutges i els tribunals per atendre les possibles responsabilitats nascudes del tractament durant el termini de prescripció d'aquestes. Una vegada complert aquest termini s'eliminaran.

3. Si les dades s'han cedit o s'han comunicat a un altre ens, la Universitat li notificarà la resolució de la sol·licitud a efectes que també les rectifiqui o les cancel·li, segons procedeixi, en el cas que mantingui el tractament.

4. La sol·licitud es resoldrà en un termini de deu (10) dies a comptar des del dia següent al de la recepció de la sol·licitud o del dia en què acabi el termini per esmenar els errors de la sol·licitud, si és el cas.

5. En el cas que no es disposi de dades de l'interessat, se li comunicarà igualment en el termini de deu dies.

6. No es pot fer una rectificació, oposició o cancel·lació en els casos següents:

6.1 No es pot fer una cancel·lació quan les dades de caràcter personal han de ser conservades durant els terminis que preveuen les disposicions aplicables o, si escau, les relacions contractuals entre la persona o l'entitat responsable del tractament i l'interessat que van justificar el tractament de les dades. També es poden denegar els drets de rectificació o de cancel·lació en els supòsits en què ho prevegi una llei o una norma de dret comunitari aplicable directament o quan aquesta llei o norma impedeixin al responsable del tractament revelar als afectats el tractament de les dades a què es refereixi l'accés.

6.2 No procedirà el dret de rectificació, oposició o cancel·lació si la dada coincideix amb el que consta en un expedient administratiu. Per procedir a la rectificació, oposició o cancel·lació serà necessària la prèvia revisió de l'expedient pels mitjans legalment establerts, i si resultessin modificats, es podrà considerar la rectificació, oposició o cancel·lació de les dades dels fitxers informatitzats.

6.3 La cancel·lació no és procedent quan pugui causar un perjudici als interessos legítims de l'interessat o de tercers.

7. Si es considera procedent la cancel·lació o rectificació demanada es comunicarà a l'interessat que s'ha procedit a cancel·lar o rectificar les dades sol·licitades.

8. En els casos en què, essent procedent la cancel·lació de les dades, no sigui possible la seva extinció física, tant per raons tècniques com per causa del procediment o suport utilitzat, el responsable del fitxer procedirà al bloqueig de les dades, per tal d'impedir la seva ulterior procés o utilització. S'exceptua el supòsit en què es demostri que les dades han estat recollides o registrades per mitjans fraudulents, deslleials o il·lícits. En aquest cas la cancel·lació comportarà sempre la destrucció del suport en què estiguin.

Setè. Normes especials dels drets ARCO per dades captades amb sistemes de videovigilància

1. Mitjançant el dret d'accés la persona titular de la imatge i, si escau, de la veu té dret a què la universitat l'informi sobre si la seva imatge ha estat captada a través de sistemes de videovigilància, la finalitat de la captació, si la imatge és enregistrada en un fitxer, si és objecte d'algun altre tractament, si s'ha realitzat o s'ha previst alguna comunicació i quin és el període de conservació de les imatges o veus. Quan la persona interessada així ho demani, també té dret a accedir a les imatges o veus i a obtenir-ne còpia, com també de les elaboracions posteriors que se n'hagi fet.

En el cas que l'exercici del dret afecti també imatges o veus de terceres persones, llevat que es compti amb el seu consentiment, l'accés requereix la dissociació prèvia de les imatges i de les seves veus amb qualsevol mitjà que n'impedeixi la identificació. Quan la dissociació exigeixi esforços desproporcionats en atenció al lapse temporal enregistrat o al nombre elevat de terceres persones afectades, la persona responsable pot sol·licitar que es redueixi el període de gravació al qual es pretengui tenir accés.

Per tal de comprovar la coincidència entre la imatge aportada i les imatges enregistrades, es poden utilitzar eines de reconeixement d'imatges.

2. Només procedeix l'exercici del dret de rectificació de les imatges o la veu captades amb sistemes de videovigilància quan la imatge o la veu hagin estat distorsionades o alterades amb posterioritat a la seva captació. Quan s'alterin o distorsionin les imatges o veus s'ha de guardar còpia de la gravació original o disposar d'un mecanisme de recuperació de la informació original.

3. Mitjançant el dret de cancel·lació la persona titular de la imatge o la veu pot demanar la supressió, amb el bloqueig previ, de les seves imatges o veu el tractament de les quals sigui inadequat, excessiu o contrari a l'ordenament jurídic.

4. Mitjançant el dret d'oposició, llevat que una norma amb rang de llei o norma de dret comunitari d'aplicació directa disposi el contrari, la persona titular de la imatge pot demanar l'exclusió del tractament de la seva imatge o veu en aquells supòsits en què no sigui necessari el seu consentiment. La sol·licitud d'exercici d'aquest dret ha de justificar-se en motius fonamentats i legítims relatius a una concreta situació personal.

5. En el cas dels drets ARCO obtingudes pels sistemes de videovigilància l'obligació de resoldre persisteix, amb independència que les imatges no hagin estat enregistrades o que ja hagin estat cancel·lades en el moment en què s'exerceix el dret. En aquest darrer cas, la resolució pot limitar-se a exposar aquesta circumstància i a informar de la impossibilitat material de donar satisfacció al dret exercit.

6. La sol·licitud d'exercici dels drets ARCO es pot denegar quan no concorrin els requisits exigibles, o quan el nivell de coincidència entre la imatge o la veu aportada amb la sol·licitud i les que hagin estat objecte de tractament no permeti assegurar que aquesta darrera correspon a la persona interessada. També es pot denegar quan no hagin estat enregistrades o ja hagin estat cancel·lades.

Vuitè. Tramitació de les sol·licituds

Si la sol·licitud reuneix els requisits formals indicats, es procedirà de la següent manera:

1. Es trametrà còpia de les sol·licituds d'exercici dels drets ARCO a la vicegerència competent en tecnologies i recursos de la informació, com a Responsable de Seguretat, dins les 48 hores següents a la seva recepció, per tal que pugui donar suport a la tramitació, per mitjà del o de la Cap del Servei d'Informàtica com administrador o administradora de seguretat, o persona que aquesta designi.

2. En el cas del dret d'accés, es recaptarà la informació demanada per l'interessat i prepararà un escrit, que serà signat pel gerent i tramès a l'interessat dins el termini màxim d'un (1) mes des de la recepció de la sol licitud al Registre General, mitjançant notificació administrativa.

3. En el cas dels drets de rectificació i cancel·lació, es recaptarà la informació necessària i lliurarà al gerent en el termini màxim de set (7) dies des de la recepció de la sol·licitud, la proposta de resolució de la sol·licitud. En cas de dubte sobre la procedència de la rectificació es consultarà al Servei d'Assessoria Jurídica. Caldrà assegurar que els sistemes d'informació que tractin les dades afectades reflecteixin la rectificació, oposició o cancel·lació. En el cas de que algun  sistema no permeti directament reflectir-ho s'implementarà un mecanisme que ho garanteixi. La notificació de la resolució a l'interessat es realitzarà dins el termini màxim de deu (10) dies des de la sol·licitud de rectificació, oposició o cancel·lació mitjançant notificació administrativa.

4. Si demanat l'accés, rectificació, oposició o cancel·lació es considera que no procedeix accedir a la sol·licitud de l'interessat, així se li comunicarà de forma motivada, dins el termini d'un (1) mes per a l'accés o deu (10) dies per a la rectificació, oposició o cancel·lació a comptar de la recepció de la sol·licitud en el Registre General de la Universitat. La resolució serà adoptada pel gerent i es comunicarà a l'interessat mitjançant notificació administrativa.

Novè.- Còmput de terminis

En el supòsits que aquesta resolució assenyali un termini per dies s'han de computar únicament els hàbils. Quan el termini sigui per mesos, s'ha de computar de data a data.

Desè. Anotació en el Document de Seguretat

Una vegada finalitzat el procediment, el Responsable de Seguretat ordenarà inscriure al Document de Seguretat de la Universitat  les dades següents:

a) Dades comunes:

• Dades relatives a l'interessat (Nom, cognoms i altres dades identificatives).
• Data d'entrada de la sol·licitud
• Fitxer de dades personals sobre que el es vol exercir el dret
• Dret ARCO exercit.
• Data de la resolució
• Resultat de la resolució (Admesa/rebutjada/caducada/.... )
• Observacions, si escau.
• Aquelles altres dades que es considerin rellevants o que el Responsable de Seguretat consideri de necessària constància.

b) En cas del dret d'accés:

• Mitjà triat per l'interessat. 
• En el cas de mitjà presencial: data de la visualització

c) En cas del dret de rectificació, cancel·lació o oposició:

• Data de la rectificació,cancel·lació, bloqueig o eliminació de les dades.
• En el cas de cessió de dades:
  • Data(es) de comunicació  als altres ens als quals se'ls hagi cedit o comunicat en cas que es mantingui el tractament.
  • Dates  de rectificació, cancel·lació, bloqueig o eliminació de les dades per part dels altres ens

d) En cas denegació:

• Motiu de la denegació

e) En el cas dels serveis de videovigilància:

• Informació sobre l'alteració o distorsió de les imatges, amb indicació del període afectat i el motiu.

Disposició addicional primera. La instrucció dels procediments d'exercici dels drets ARCO correspondrà al Responsable de Seguretat per mitjà del Servei d'Informàtica, que haurà de mantenir la custòdia dels expedients d'acord amb la política de gestió documental indicada per l'Arxiu.

Els responsables interns dels fitxers hauran de facilitar la informació i col·laborar en la tramitació que afecti als fitxers de la seva responsabilitat.

Disposició addicional segona. Es modifica l'article 4 de la resolució de 26 de juny del 2003 de mesures organitzatives sobre la protecció de dades de caràcter personal modificada per resolució de 15 de juny del 2011 en els termes següents:

A l'apartat 2.1.1 s'afegeix:

c) Assegurar que en el Document de Seguretat hi consten les cessions de dades realitzades i les anotacions sobre l'exercici dels drets d'accés, rectificació i cancel·lació. 

L'apartat 2.1.4. queda expressat en un paràgraf únic i s'elimina:

b) Assegurar que en el Registre d'incidències hi consten les cessions de dades realitzades i les anotacions sobre l'exercici dels drets d'accés, rectificació i cancel·lació.