Les dades han de ser recollides amb finalitats determinades, explícites i legítimes i posteriorment no s’han de tractar de manera incompatible amb aquestes finalitats. Així, les dades han de ser adequades, pertinents i limitades al que resulti necessari per al treball: recull només les dades estrictament necessàries per al projecte. 

Igualment, les dades han de ser conservades durant el període que sigui estrictament necessari per a les finalitats del tractament. Per tant, esborra les dades un cop hagis finalitzat el treball.

Si tens previst dipositar les dades personals en qualsevol mena de plataforma oberta que doni accés a altres investigadors o a tercers, comunica-ho als interessats.  

Existeixen diferents legitimacions possibles per a un tractament de dades personals, però per a la realització d'un treball acadèmic, l'única legitimació possible és el consentiment de la persona interessada. Aquest consentiment ha de ser inequívoc, específic i informat. 

Es considera que el consentiment és inequívoc quan s’ha prestat mitjançant una manifestació clara i afirmativa. El consentiment tàcit o basat en el silenci o la inactivitat no són vàlids.

El consentiment és específic quan es refereix de forma intel·ligible a un tractament concret i no es dóna en un context ambigu. 

I, per tal que el consentiment sigui informat, és imprescindible proporcionar llegendes informatives en el moment de la recollida de dades. 

Cal conservar els registres o mitjans de prova que demostrin clarament que es disposa del consentiment per al tractament de les dades personals. Per exemple, recollir i emmagatzemar els fulls de consentiment.

La informació bàsica que cal donar als interessats és la següent:  

Responsable del tractament: Nom de l'estudiant. Adreça o telèfon de contacte. 

Finalitat: Finalitat del tractament o tractaments pels quals s'utilitzaran les dades. Les dades personals es conservaran durant termini de conservació de les dades. (Exemple: 'Les dades personals seran utilitzades per a l'elaboració del Treball Final de Grau/d'un treball acadèmic i podran ser incorporades al mateix, eliminant-se qualsevol altra còpia una vegada aquest sigui presentat.') 

Legitimació: Consentiment. Es pot retirar en qualsevol moment. 

Destinataris (opció 1): Les vostres dades només seran utilitzades per a la realització del treball acadèmic descrit a la Finalitat i no es cediran a tercers sense el vostre consentiment, llevat de l'existència d'una obligació legal per a la comunicació de dades. El treball realitzat pot ser publicat a Internet.

Destinataris (opció 2): Les dades seran tractades per a la realització del treball acadèmic descrit a la Finalitat i (posar aquí altres destinataris de les dades, per exemple empreses col·laboradores amb les quals s'hagi arribat a acords d'intercanvi de dades). 

Drets: el dret d'accés a les dades, de rectificació, supressió, sol·licitud de portabilitat, oposició al tractament i la sol·licitud de limitació es poden fer mitjançant enviament de correu electrònic a correu de l'estudiant. Si considera que els seus drets no han estat atesos correctament, pot presentar una reclamació davant l’Agència Espanyola de Protecció de Dades.

Col·lectius vulnerables:

Qualsevol persona pot ser vulnerable quan no sigui capaç d’entendre l’abast de les conseqüències del tractament de les seves dades personals: és una classificació que pot variar segons el context. Per exemple, al donar consentiment per tenir encesa la geolocalització d’un telèfon mòbil, un pot no ser conscient que aquesta informació pot acabar sent utilitzada per fer perfilats de màrqueting – llavors, aquesta persona està esdevenint un col·lectiu vulnerable.

El tractament és lleial si a les persones de qui es tracten dades de caràcter personal els queda clar que s’estan recollint i/o utilitzant dades personals que els afecten, i fins a quina mesura es tractaran. 

A més, cal tenir especial cura en explicar, amb el màxim detall possible, el motiu de la recollida de dades a aquelles persones que, per les seves especials circumstàncies, poden no ser conscients de les conseqüències del tractament de les seves dades personals. Igualment, s'ha d'explicar detalladament el full de consentiment informat a persones que poden tenir dificultats per entendre i/o exercir els seus drets. 

També és necessari detallar els possibles riscos a la privacitat i al dret a l'honor que la publicació de les dades pot suposar per als titulars de les dades, especialment a col·lectius tradicionalment discriminats. 
En tots els casos, s’han de maximitzar les mesures de seguretat.

Les dades personals han de ser exactes, representar veraçment la realitat. Cal adoptar les mesures raonables perquè es puguin suprimir o rectificar sense dilació les que siguin inexactes.

En aquest sentit, pot ser especialment difícil modificar dades extretes directament d'Internet, sense contacte directe amb l'interessat. Les dades publicades en bases de dades oficials o mitjans de comunicació es presumiran correctes i es poden fer servir en els treballs acadèmics seguint les instruccions d'aquests centres.

Pel que fa a altres dades recollides directament d'Internet recorda que no es poden presumir fiables, ja que tothom hi té accés i poden ser modificades per un tercer sense el consentiment de l'interessat. En qualsevol cas, per utilitzar-les en un treball acadèmic, hauràs de tenir en compte els termes i condicions dels llocs web on les recullis. També hauràs de tenir en compte les expectatives raonables amb les quals els interessats van introduir les seves dades en la web. Si l'ús que vols fer de les dades personals va més enllà dels termes i condicions del lloc web i/o les expectatives raonables dels interessats, caldrà contactar amb ells i sol·licitar el seu consentiment per al tractament.

El concepte 'qualitat' de les dades tractades, implica que:

1. Limitació de la finalitat: únicament pots tractar dades quan estiguis legitimat per fer-ho i hagis informat prèviament l’interessat amb claredat de quines són les finalitats de la sol·licitud, que evidentment han de ser legítimes.                                                                                                             
2. Minimització de dades: només pots tractar les dades estrictament necessàries per a les finalitats perseguides, la qual cosa implica utilitzar el mínim de dades possible. Evita demanar tot aquell conjunt de dades no estrictament necessari per l’elaboració del teu treball.                                
3. Exactitud: únicament s’han de tractar les dades que siguin exactes, la qual cosa implica assegurar-se de mantenir-les actualitzades. Evidentment, hi ha una presumpció de veracitat respecte a les dades que l’interessat ens aporta directament, però en tractaments perllongats, aquestes podrien variar i perdre la seva exactitud. Aquest principi ens obliga a suprimir aquelles dades que sapiguem que són obsoletes.                                     
4. Limitació del termini de conservació: les dades s’han de conservar durant el temps estrictament necessari per complir la finalitat per a la que es van sol·licitar, en aquest cas, l’elaboració del treball acadèmic. Una vegada complerta aquesta finalitat, l’estudiant les haurà de suprimir. Aquesta obligació afecta tan als tractaments en suport informàtic com en paper.

Les dades han de ser tractades de manera que se’n garanteixi la protecció contra el tractament no autoritzat o il·lícit; i contra la seva pèrdua, destrucció o dany accidental, mitjançant l’aplicació de les mesures tecnològiques o organitzatives adequades.

Les conseqüències per als interessats d'un accés no autoritzat a les seves dades poden classificar-se en diferents graus de gravetat depenent de la possibilitat de reparació dels perjudicis derivats. 

Conseqüències lleus. L'accés il·lícit causa un perjudici menor a l'interessat que, encara que molest, pot ser fàcilment esmenable. 

Conseqüències greus. Els perjudicis derivats de l'accés no autoritzat són importants i de difícil reparació. 

Conseqüències molt greus. El resultat de la infracció causa un perjudici greu de difícil o impossible reparació. 

Com a responsables del tractament de dades personals teniu el deure d’aplicar les mesures tècniques i organitzatives apropiades a fi de garantir i poder demostrar que els tractaments que es realitzen són conformes a la legislació. Aquest principi exigeix una actitud conscient, diligent i proactiva per part dels responsables davant tots els tractaments de dades personals que portin a terme. 

Per garantir un tractament adequat de les dades personals d'una persona és convenient realitzar, abans de la recollida de dades, una anàlisi de riscos dels tractaments. A partir d'aquesta anàlisi se'n determinaran els mitjans i es definiran les mesures tecnològiques i organitzatives necessàries per protegir les dades, per tal de respectar els drets dels interessats. Aquesta definició haurà de tenir en compte l'estat de la tecnologia i el cost d'aplicació de les mesures, la naturalesa, l'àmbit, el context i les finalitats del tractament, així com els possibles riscos que comporta el tractament per als drets i llibertats dels interessats. 

Com a exemple de mesura de seguretat concreta, destaquem el procediment de pseudonimització tot i que, sempre que sigui possible, recomanem l'anonimització de dades preferentment.

En cas que el disseny del teu treball incorpori la recollida de dades personals a través del correu electrònic de la universitat, la normativa UPF estableix certes limitacions i prohibicions en l’ús del correu electrònic universitari. Com a estudiant que està realitzant un treball, estaràs obligat a utilitzar el compte de correu electrònic proveït per la Universitat d'acord amb les condicions d'utilització del servei i els usos i activitats permesos, així com mantenir el dret a la privacitat d'altres usuaris tant pel que fa al contingut dels missatges intercanviats com pel que fa a les adreces de correu electrònic d'aquests. En definitiva, has d’evitar aquelles actuacions que destorbin l’activitat normal de la resta d’usuaris (com, per exemple, l’enviament massiu de missatges o la suplantació personal per tal d’obtenir més fàcilment les dades preteses).

En ocasions, per desconeixement o descuit, enviem correus electrònics a diversos destinataris alhora, on queden reflectides les adreces de correu electrònic de la resta de receptors. Per tal d’evitar la comunicació i sobreexposició de les dades amb les que tractes, les adreces de correu de tercers han d’anar en còpia oculta (CCO).

Per a més informació, pots consultar les Normes d'ús del servei de correu electrònic de la UPF. 

En el moment inicial del treball cal preveure com es gestionaran les dades personals durant l'estudi: la recollida de dades, el seu tractament i emmagatzematge, així com la gestió que es farà de les mateixes quan acabi el treball. Fins i tot pot ser necessari preveure com es gestionarà la eventual divulgació dels resultats del treball, o preveure una possible auditoria externa dels resultats del mateix. 

La informació que es doni als interessats a l'inici de la investigació, els mitjans i finalitats per a les que els participants consentin l'ús de les seves dades personals, determinaran com i què podeu fer amb aquestes fins al final del treball.