Los datos deben ser recogidos para finalidades concretas, explícitas y legítimas. Posteriormente no se pueden tratar los datos de manera incompatible con las finalidades expuestas a los interesados. Además, los datos deben ser adecuados, pertinentes y limitados a sus finalidades: recoge solo aquellos datos que sean estrictamente necesarios para el proyecto. 

Los datos se deben conservar durante un periodo no superior al necesario para las finalidades del tratamiento. Por lo tanto, es conveniente borrar los datos personales una vez finalizado el trabajo. 

Si tienes previsto depositar los datos personales en algún tipo de plataforma abierta que dé acceso a otros investigadores o terceros, comunícaselo a los interesados. 

Existen diferentes tipos de legitimación para el tratamiento de datos personales, pero para la realización de un trabajo académico, la única legitimación posible es el consentimiento de la persona interesada. Este consentimiento ha de ser inequívoco, específico e informado. 

Se considera que el consentimiento es inequívoco cuando se ha prestado mediante una clara y afrimativa manifestación. El consentimiento tácito o basado en el silencio no son válidos.

El consentimiento es específico cuando se refiere de forma inteligible a un tratamiento concreto y no se da en un contexto ambiguo. 

Y para que el consentimiento sea informado, es imprescindible proporcionar leyendas informativas en el momento de la recogida de datos.

Es necesario conservar los registros o medios de prueba que demuestren claramente que se dispone del consentimiento para el tratamiento de los datos personales. Por ejemplo, recoger y almacenar las hojas de consentimiento.

Información básica que debe proporcionarse: 

Responsable del tratamiento: Nombre del estudiante. Dirección o teléfono de contacto. 

Finalidad: Finalidad del tratamiento o tratamientos para los que se utilizan los datos. Período de conservación de datos. 

Legitimación: Consentimiento de la persona interesada. Se puede retirar en cualquier momento. 

Destinatarios (opción 1): Sus datos serán utilizados únicamente por nombre del estudiante responsable del tratamiento y no se cederán a terceros sin su consentimiento, excepto en los supuestos previstos por la ley.

Destinatarios (opción 2): Sus datos serán tratados por nombre del estudiante responsable del tratamiento y (poner aquí otros destinatarios de los datos. Por ejemplo: profesores, tutores o compañeros). 

Derechos: Acceso a sus datos, rectificación, supresión, solicitud de portabilidad, oposición al tratamiento y solicitud de limitación mediante correo electrónico a correo del estudiante responsable. 

Colectivos vulnerables:

Cualquier persona puede ser vulnerable cuando no sea capaz de entender el alcance de las consecuencias que puede tener el tratamiento de sus datos personales: es una clasificación que puede variar según el contexto. Por ejemplo, al dar consentimiento para tener encendida la geolocalización de un teléfono móvil, uno puede no ser consciente de que esta información puede acabar siendo utilizada para hacer perfilados de márquetin – entonces esta persona está deviniendo un colectivo vulnerable.

El tratamiento es leal si a las personas de las que se tratan datos de carácter personal les queda claro que se están recogiendo y/o utilizando datos personales que les afectan, y hasta qué medida se trataran.

Además, hay que tener especial cuidado en explicar, con el máximo detalle posible, el motivo de la recogida de los datos a aquellas personas que, por sus especiales circunstancias, pueden no ser conscientes de las consecuencias que puede tener la recogida de las mismas. Igualmente, se tiene que explicar detalladamente la hoja de consentimiento informado a las personas que pueden tener dificultades para entender y/o ejercer sus derechos.

También es necesario detallar los posibles riesgos a la privacidad y al derecho al honor que la publicación de los datos puede suponer para sus titulares, especialmente a los colectivos tradicionalmente discriminados.

En todos los casos, se tienen que maximizar las medidas de seguridad.

Los datos personales deben ser exactos, representar verazmente la realidad. Es necesario adoptar medidas razonables para que se puedan suprimir o rectificar sin dilación aquellos datos que sean inexactos. 

En este sentido, puede ser especialmente difícil modificar datos extraídos directamente de Internet, sin contacto directo con el interesado. Los datos publicados en bases de datos oficiales o en medios de comunicación se presumen correctos y se pueden utilizar en trabajo académicos siguiendo las instrucciones de estos centros. 

En cuanto a los datos recogidos directamente de Internet recuerda que no se pueden presumir fiables, ya que cualquiera puede tener acceso y pueden ser fácilmente modificados por un tercero sin consentimiento del interesado. En cualquier caso, para utilizar estos datos en un trabajo académico, se deben tener en cuenta los términos y condiciones del sitio web de dónde se recojan. También deberás tener en cuenta las expectativas razonables con las que los interesados introdujeron sus dados en la web. Si el uso que quieres hacer de sus datos personales va más allá de los términos y condiciones del sitio web y/o de las expectativas razonables de los interesados, deberías contactar con ellos y solicitar su consentimiento para el tratamiento. 

El concepto 'calidad' de los datos implica que: 

1. Limitación de la finalidad: únicamente puedes tratar datos cuando estés legitimado para ello y hayas informado previamente al interesado con claridad de cuáles son las finalidades de la solicitud, que evidentemente deben ser legítimas.                                                                                     
2. Minimización de datos: solo puedes procesar los datos estrictamente necesarios para los fines perseguidos, lo que implica el uso del mínimo de datos posible. Evita solicitar cualquier conjunto de datos que no sea estrictamente necesario para la preparación de su trabajo.                                     
3. Exactitud: únicamente debes tratar los datos que sean exactos, lo que implica asegurarse de mantenerlos actualizados. Evidentemente, existe una presunción de veracidad respecto a los datos que el interesado nos aporta directamente, pero en tratamientos prolongados, éstos podrían variar y perder su exactitud. Este principio nos obliga a suprimir aquellos datos que sepamos que son obsoletos.                                                             
4. Limitación del plazo de conservación: los datos deben conservarse durante el tiempo estrictamente necesario para cumplir la finalidad para la que se solicitaron, en este caso, la elaboración del trabajo académico. Una vez cumplida esta finalidad, el estudiante deberá suprimirlas. Esta obligación afecta tanto a los tratamientos en soporte informático como en papel.

Los datos se han de tratar de manera que se garantice la protección contra el tratamiento no autorizado o ilícito; y contra su perdida, destrucción o daño accidental, mediante la aplicación de medidas tecnológicas u organizativas adecuadas. 

Las consecuencias para los interesados de un acceso no autorizado a sus datos puede clasificarse en diferentes grados de gravedad dependiendo de la posibilidad de reparación de los perjuicios derivados. 

Consecuencias leves: El acceso ilícito causa un perjuicio menor al interesado que, aunque molesto, puede ser fácilmente subsanado. 

Consecuencias graves: Los perjuicios derivados del acceso no autorizado son significativos y de difícil reparación. 

Consecuencias muy graves: El resultado de la infracción causa un perjuicio grave, de difícil o imposible reparación. 

Como responsables del tratamiento de datos personales tenéis el deber de aplicar las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que los tratamientos que realizáis son conformes a la legislación. Este principio exige una actitud consciente, diligente y proactiva por parte de los responsables sobre todos los tratamientos de datos personales que realicen. 

Para garantizar un tratamiento adecuado de los datos de una persona es conveniente realizar, antes de la recogida de datos, un análisis de riesgos del tratamiento. A partir de este análisis se determinarán los medios y se definirán las medidas tecnológicas y organizativas necesarias para proteger los datos, con el fin de respetar los derechos de los interesados. Esta definición deberá tener en cuenta el estado de la tecnología y el coste de aplicación de las medidas, la naturaleza, el ámbito, el contexto y las finalidades del tratamiento, así como los posibles riesgos que comporta el tratamiento para los derechos y libertades de los interesados. 

Como ejemplo de medida de seguridad concreta, destacamos el procedimiento de pseudonimización pese a que recomendamos la anonimización de datos preferentemente, en la medida que sea posible. 

En caso de que el diseño de tu trabajo incorpore la recogida de datos personales a través del correo electrónico de la Universidad, la normativa UPF establece ciertas limitaciones y prohibiciones en el uso del correo electrónico universitario. Como estudiante que está realizando un trabajo, estarás obligado a utilizar la cuenta de correo electrónico proveída por la Universidad de acuerdo con las condiciones de utilización del servicio y los usos y actividades permitidos, así como mantener el derecho a la privacidad de otros usuarios tanto en lo que respecta al contenido de los mensajes intercambiados como en lo que se refiere a las direcciones de correo electrónico de éstos. En definitiva, debes evitar aquellas actuaciones que entorpezcan la actividad normal del resto de usuarios (como, por ejemplo, el envío masivo de mensajes o la suplantación personal para obtener más fácilmente los datos pretendidos).

En ocasiones, por desconocimiento o descuido, enviamos correos electrónicos a varios destinatarios a la vez, donde quedan reflejadas las direcciones de correo electrónico del resto de receptores. Con el fin de evitar la comunicación y sobreexposición de los datos con los que tratas, las direcciones de correo de terceros deben ir en copia oculta (CCO).

Para más información, puede consultar las Normas de uso del servicio de correo electrónico de la UPF.

En el moment inicial del treball cal preveure com es gestionaran les dades personals durant l'estudi: la recollida de dades, el seu tractament i emmagatzematge, així com la gestió que es farà de les mateixes quan acabi el treball. Fins i tot pot ser necessari preveure com es gestionarà la eventual divulgació dels resultats del treball, o preveure una possible auditoria externa dels resultats del mateix. 

La informació que es doni als interessats a l'inici de la investigació, els mitjans i finalitats per a les que els participants consentin l'ús de les seves dades personals, determinaran com i què podeu fer amb aquestes fins al final del treball.