# data[].attributes.attachment_link.title
Ejemplo ficha con datos de los alumnos: teléfonos, contacto, datos familiares, datos académicos, datos sanitarios... | ficha de datos personales | Preschool education, School worksheets, Teacher forms

# data[].attributes.attachment_link.description
Ejemplo ficha con datos de los alumnos: teléfonos, contacto, datos familiares, datos académicos, datos sanitarios...

# data[].attributes.attachment_link.readable_text
La Ley de protección de datos en los colegios y centros educativos no se circunscribe a una simple normativa. Afecta a varios aspectos muy distintos y a los sistemas de información del colegio, lo que quiere decir que es una cuestión bastante mas medular de lo que puede parecer.

Ley de Protección de datos de carácter personal (LOPD) fue aprobada en 1999 y la Agencia de protección de Datos (AEPD) es la autoridad estatal de control independiente, encargada de velar por el cumplimiento de la normativa, garantizando y tutelando el derecho fundamental a la protección de datos de carácter personal de los ciudadanos. Es importante saber que las imágenes se consideran datos protegidos en tanto en cuanto sirven para identificar a una persona física.

Los datos de carácter personal se dividen en tres categorías con sus correspondientes niveles de seguridad:

A: Datos personales básicos y generales, les corresponde un nivel de seguridad Básico

B: Datos personales de infracciones, agencia tributaria de morosidad, bancarios, seguridad social, personalidad, que les corresponde un Nivel de seguridad media

C: Datos de ideología, religión, afiliación sindical, vida sexual, policiales o violencia de género que les corresponde un Nivel de seguridad máximo

En este marco, las principales obligaciones que tienen que tener en cuenta un colegio para el cumplimiento de la Ley son las siguientes:

1.-La primera obligación será el registro del uno o varios ficheros en la Agencia de protección de datos. Como mínimo fichero de datos personales de alumnos, padres y personal del centro. Eso se puede hacer online a través de este formulario en la propia Agencia de Protección de Datos: https://sedeagpd.gob.es/sede-electronica-web/vistas/formNOTA/servicioNOTA.jsf

2.- En el proceso de matriculación, donde se recaban los datos, es fundamental informar a los padres del uso y existencia de esos ficheros y que estos den su autorización para los usos que se vayan a realizar (web del colegio, cesión a terceros para determinados usos,..etc.)

3.-Los ficheros de datos de menores de edad deben de contar con el consentimiento de progenitores o tutores legales sin que reciban un tratamiento especial por ser menores. Los datos académicos corresponden a un nivel de seguridad medio. Los mayores de 14 años pueden prestar ellos mismos el consentimiento para cierto tipo de datos. Por supuesto hay que otorgar de forma efectiva los derechos de acceso, rectificación u oposición de las personas físicas que soliciten este derecho.

4.- El régimen sancionador es fuerte, con lo que es muy importante para el colegio no incurrir en una infracción. Además la imagen del centro o de las personas puede tener graves perjuicios. Por tener unas cifras y saber de qué estamos hablando estas son las principales sanciones

Leves: entre 600 y 60.000€ aprox. Corresponden a no solicitar la inscripción del fichero, recopilar datos sin informar previamente, no atender a los derechos de rectificación o cancelación ni a los requerimientos de la Agencia de Protección de datos

Graves: de 60.000 a 300.000 aprox. Corresponden a no inscribir el fichero, no tener consentimiento para recabar datos, utilizarlos para otra función, no permitir acceso, rectificación, no seguir las garantías de la AEPD, mantener ficheros sin garantía de seguridad

Muy graves: de 300.000 a 600.000. Crear ficheros de datos especialmente protegidos, recogida de datos engañosa, comunicación de datos, tratamiento ilegitimo, transferencia de datos a países que no cumplen normativa o no atender sistemáticamente los requerimientos de la AEPD

La custodia de los datos, a través de unas adecuadas medidas de seguridad, resulta fundamental ya que una filtración de datos podría originar actuaciones de oficio contra el centro como ha ocurrido en alguna ocasión.

5- Todo colegio o centro educativo tiene que tener redactado el Documento de Seguridad.

Este es un documento interno que recoge todas las normas, procedimientos de seguridad, medidas y reglas encaminadas a garantizar la seguridad de los datos y debe de estar elaborado por el responsable del fichero y encargado del tratamiento de los datos. Igualmente debe de informarse a todo el personal y es de obligado cumplimiento por este. Como mínimo debe de comprender detalles de recursos protegidos, medidos de seguridad, normas y procedimientos, funcionales y obligaciones del personal, estructura de los ficheros, procedimientos de notificación y gestión ante incidencias

Para los niveles medios y altos se exige además un responsable de seguridad y medidas para revisión periódica.

Aquí se puede ver una guía de documento de seguridad:
https://www.agpd.es/portalwebAGPD/canalresponsable/guia_documento/index-ides-idphp.php
Entre los aspectos más importantes del documento de seguridad, esta que la validación de usuarios debe de ser personal e inequívoca, debe de existir un registro de acceso y cada usuario solo debe de acceder a los datos que son necesarios para el desempeño de su puesto. Estas son características que vienen dadas por el programa o plataforma de gestión del colegio.

6.- Medidas de seguridad adecuadas y ubicación de los datos: El documento de seguridad lleva implícito una serie de medidas de seguridad. En el caso de que los datos se hallen en la Nube el colegio tendrá que asegurarse que los datos se hallan en España o en la Unión Europea (y no bastara que el fabricante del software este en España o un Pais de legislación perecida, es decir, Unión Europea. Algunas plataformas pueden usar Google u Amazon que normalmente no garantizan que sus datos estén en la Unión Europea.

Es importante considerar que una plataforma online simplifica mucho el cumplimiento de la Ley de Protección de datos, ya que incluye las medidas de seguridad, tratamiento de copias, acceso jerarquizado, registro de acceso. Resulta fundamental en estos casos que incluya protocolo seguro lo que significa que la información está cifrada. En este sentido la AEPD da su respaldo a Microsoft, reconociendo la solvencia y las garantías de los servicios corporativos de Microsoft en la Nube en lo relativo a transferencias internacionales de datos. Igualmente la AEPD afirma que los contratos de Microsoft ofrecen garantías adecuadas para que los clientes confíen sus datos personales a la compañía en el marco de los servicios corporativos de Office 365, Dynamics CRM Online y Microsoft Azure. Microsoft es el primer y único proveedor que recibe este reconocimiento de la Agencia de Protección de Datos: http://www.agpd.es/portalwebAGPD/resoluciones/autorizacion_transf/auto_transf_2014/common/pdfs/TI-00032-2014_Resolucion-de-fecha-09-05-2014_de-MICROSOFT-CORPORATION_a-Estados-Unidos.pdf
https://news.microsoft.com/es-es/2014/06/06/aepd-servicios-cloud-microsoft/#sm.00110oxtl17i4d6zsqd13of55csw7
7.- Los sistemas de vídeo vigilancia no deben de grabar fuera del recinto del colegio y estar debidamente identificadas las cámaras. También tienes que estar identificados e informados los sistemas de control laboral o control de acceso general al centro o a determinados recintos (como comedor) a través de huella digital.

# data[].attributes.attachment_link.title
La Ley de protección de datos y los sistemas de información en los colegios -

# data[].attributes.attachment_link.description
La Ley de protección de datos en los colegios y centros educativos no se circunscribe a una simple normativa. Afecta a varios aspectos muy distintos y a los sistemas de información del colegio, lo que quiere decir que es una cuestión bastante mas medular de lo que puede parecer.

# data[].attributes.attachment_link.readable_text
¿Deben cumplir la Ley de Protección de Datos los centros educativos? ¿Cómo deben adaptarse a la normativa? ¿Qué tipo de datos personales manejan los centros educativos? ¿Quién es el responsable del tratamiento? ¿Deben designar un Delegado de Protección de Datos?

En esta guía de protección de datos para centros educativos daremos respuesta a estas y otras preguntas relacionadas con la materia.

En este artículo hablamos de:

¿Están obligados a cumplir la Ley de Protección de Datos los centros educativos?

Cumplir con la Ley de Protección de Datos en centros educativos es una obligación ineludible, dado el volumen de datos que estos tratan, desde los del alumnado hasta el de sus empleados, además de tratar datos de menores de edad, estos centros también pueden llegar a tratar datos de categorías especiales (como los de la salud).

Además, adaptar la normativa de protección de datos en centros educativos entraña, en muchos casos, cumplir con unas obligaciones más estrictas, puesto que cuando hablamos de colegios, institutos y academias, hablamos de tratar datos de menores de edad, de sus padres o tutores y, como decíamos, de los propios empleados del centro.

Así mismo, la normativa de protección de datos también debe tener en cuenta respecto a la publicación de notas, el acceso a las calificaciones por parte de los padres de alumnos mayores edad, el uso de imágenes de alumnos en la página web o redes sociales del centro, cuándo un profesor puede grabar a sus alumnos durante una actividad, etc.

Solicita INFO sobre cómo cumplir la ley de protección de datos en centros educativos.

Normativa de protección de datos para centros educativos

La normativa de protección de datos para centros educativos la tenemos en:

El RGPD (Reglamento General de Protección de Datos, que es el marco regulatorio europeo, vigente desde 2016 y que introdujo varias novedades respecto a la protección de datos, entre ellas, el consentimiento expreso, el registro de actividades de tratamiento o la figura del Delegado de Protección de Datos (DPO).

La LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales), es la ley española de protección de datos, con la que se adaptó al ordenamiento jurídico español el RGPD. Vigente desde 2018, cumplirla implica cumplir el RGPD, puesto que contempla básicamente las mismas obligaciones, infracciones y sanciones.

Ley de Educación.

Guía para la protección de datos en centros educativos

Para adaptar la Ley de Protección de Datos en centros educativos, estos deben cumplir con una serie de obligaciones y requisitos establecidos en la normativa, siempre teniendo en cuenta el tipo de datos personales que se tratan en los centros y la finalidad de los tratamientos, que siempre deberá estar relacionada con la función docente y orientadora.

¿Quién es el responsable de la protección de datos en centros educativos?

Quién asume el papel del responsable de la protección de datos en los centros educativos, es decir, quién es el responsable del tratamiento, depende de si el centro es público o privado.

Así, cuando el centro educativo es público, el responsable del tratamiento será la Administración pública correspondiente (la Consejería de la Comunidad Autónoma competente en materia educativa, con excepción de Ceuta y Melilla y los centros fuera de España bajo titularidad del Estado, que dependerán del Ministerio de Educación).

En el caso de los centros concertados o privados, el responsable del tratamiento será el propio centro.

¿Qué tipos de datos tratan los centros educativos?

Como ya dijimos al comienzo de esta guía de protección de datos en centros educativos, estos tratan un gran volumen de datos personales, pero ¿cuáles exactamente?

Por un lado, los centros educativos van a tratar datos identificativos de alumnos, padres o tutores de alumnos y empleados: nombre, apellidos, domicilio, teléfono, DNI, email, etc.

Por tro lado, la Ley de Educación también legitima a los centros educativos a recabar datos de carácter personal para la ayuda a la función docente y orientadora de los alumnos. De manera que también tratarán los siguientes datos:

Origen y ambiente familiar y social: Con esto nos referimos a toda la información sobre la situación familiar de los alumnos. Un centro escolar puede recoger información relativa tanto a los alumnos como a los padres. El caso de los padres es relevante, ya que si, por ejemplo, están divorciados, el centro debe saber quién ostenta la patria potestad para la recogida de los menores.

Características o condiciones personales del menor: Aquí encontramos los llamados datos sensibles, en cuanto sean necesarios para la función educativa. En este caso hay diferentes momentos en que se pueden recabar datos sensibles del menor, entre los que destacamos:

En la matriculación del alumno:

Discapacidades

Enfermedades crónicas

TDAH

Intolerancias alimentarias

Alergias

Durante el curso escolar:

Tratamiento médico que reciba un alumno a través del servicio médico o de enfermería del centro

Informes de centros sanitarios a los que se le haya trasladado como consecuencia de accidentes o indisposiciones sufridas en el centro

Informes de los equipos de orientación psicopedagógica

Desarrollo y resultados de su escolarización: Se trata de datos e información relacionada con el rendimiento escolar, como, por ejemplo, las notas de cada uno de los alumnos, así como las asignaturas que ellos mismos hayan podido escoger.

Circunstancias cuyo conocimiento sea necesario para educar y orientar a los alumnos: Este punto nos enlaza con los dos primeros, ya que será necesario el conocimiento de la situación familiar y personal del alumno para su buen desarrollo educativo. Por ejemplo, conocer la situación socioeconómica de una familia puede ayudar a determinar si un alumno necesita más o menos apoyo en determinadas áreas o acceso a material escolar.

Datos ajustados a la finalidad: Como ocurre en otros ámbitos, uno de los requisitos de la ley de protección de datos en centros educativos es no recabar datos personales que sean excesivos para la finalidad para la que son recogidos. Por ejemplo, en el caso de las solicitudes de plaza en un centro de enseñanza, no es necesario recabar los datos bancarios para el pago de actividades extraescolares hasta que no se hubiera resuelto el proceso y fuese admitido el alumno.

Recogida de datos personales: Legitimación y consentimiento expreso

De acuerdo a la normativa de protección de datos, los centros educativos están legitimados para el tratamiento de datos personales para dar cumplimiento, como hemos dicho, a la función docente y orientadora. En estos casos, el consentimiento expreso para el tratamiento de datos no será necesario, pero sí deberá informar a los interesados (alumnos, padres o tutores y empleados) de la realización de dicho tratamiento.

Cuando sea necesario llevar un tratamiento de datos que no esté legitimado por esa finalidad, será necesario recabar el consentimiento expreso de los interesados. También deberá recabarse este consentimiento expreso cuando se traten categorías de datos especiales o sensibles (origen racial, relativos a la salud y a la vida sexual, ideología, religión o creencias o afiliación sindical), además, deberá recogerse por escrito.

Los alumnos mayores de 14 años podrán prestar su consentimiento ellos mismos, mientras que para los menores de 14 años deberá recabarse el consentimiento de padres o tutores legales.

Como el consentimiento debe quedar registrado, lo habitual es recurrir a incluir la correspondiente cláusula en el mismo impreso o formulario en el que se van a recabar los datos (por ejemplo, en el formulario de matriculación), usando casillas para marcar el otorgamiento del consentimiento o mediante la firma.

El consentimiento ha de ser inequívoco y específico, correspondiendo al centro o a la Administración educativa acreditar su existencia.

En cuanto a los profesores, más allá de cuando los profesores recogen datos personales de los alumnos en el ejercicio de sus funciones administrativas, también estarán legitimados para recoger datos personales de los alumnos directamente en el desempeño de sus labores docentes, por ejemplo, para evaluar ejercicios, dentro de las instrucciones o protocolos internos al respecto del centro.

La protección de datos en centros educativos requiere cumplir con el deber de informar a los interesados (alumnos, padres o tutores legales y empleados del centro) de todo lo relativo al tratamiento de sus datos, en concreto se informará sobre:

El tratamiento de datos

La identidad del responsable del tratamiento, del Delegado de Protección de Datos (DPO) y del encargado o encargados del tratamiento

La finalidad del tratamiento

El plazo de conservación de los datos

Si los datos serán cedidos a terceros (identificando a los mismos)

Si se producirán transferencias internacionales de datos y las garantías de las mismas

La vía para ejercer los derechos ARSULIPO (acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición)

Registro de actividades de tratamiento

Dado el volumen y las categorías de datos que manejan los centros educativos, el responsable del tratamiento está obligado a llevar un registro de actividades de tratamiento, de manera que por cada tratamiento de datos personales que se haga en el centro (listado de alumnos, nóminas de profesores, cámaras de seguridad, información referente a la salud, etc.), se deberá realizar el correspondiente registro de actividades de tratamiento, que recogerá la siguiente información:

Datos identificativos del responsable del tratamiento, del encargado o encargados del tratamiento y del DPO

La finalidad del tratamiento

La base legitimadora del tratamiento

Las categorías de datos e interesados afectados

Las categorías de destinatarios de los datos existentes o previstos

Las transferencias internacionales de datos (si procede)

El plazo de conservación de los datos

Descripción general de las medidas técnicas y organizativas de seguridad

Análisis de riesgos y evaluación de impacto

Una de las principales obligaciones en materia de protección de datos para centros educativos es llevar a cabo análisis de riesgos y, cuando sea necesario, la evaluación de impacto en protección de datos (EIPD).

Con carácter previo a cualquier tratamiento de datos, el centro realizará un análisis de riesgos, para determinar la posibilidad de que dicho riesgo se materialice y cómo afectaría a los interesados. Este análisis, además, se empleará para diseñar e implementar las medidas de seguridad necesarias para minimizar las probabilidades de materialización del riesgo y para reducir su impacto, si al final ocurre.

Hablamos aquí de riesgos que pongan en peligro la integridad, disponibilidad, fiabilidad y confidencialidad de los datos, tanto físicos como digitales, accidentales o intencionados.

La EIPD se deberá realizar cuando el tratamiento de datos personales afecte a datos sensibles y cuando del análisis de riesgos se determine que un nivel de riesgo alto para los derechos y libertades de los interesados, en caso de materializarse un riesgo o amenaza. La EIPD es un análisis de riesgos más en profundidad y centrado en ese impacto sobre la vida de los interesados.

Las conclusiones del análisis de riesgos y de la EIPD servirán a los centros educativos para diseñar e implementar las medidas técnicas y organizativas necesarias para garantizar la seguridad, integridad, disponibilidad y confidencialidad de los datos personales que manejan. Estas medidas deben impedir el acceso de terceros no autorizados a los datos personales del centro, evitar su pérdida o destrucción o su filtración.

Cesión de datos a terceros

Cuando los centros educativos, para cumplir con algunas de sus funciones, deben contratar los servicios de terceros externos a los mismos (por ejemplo, servicio de comedor, servicio médico, de transporte, etc.) y estos tienen acceso a los datos personales de alumnos, padres o tutores y empleados del centro, se deberá firmar con ellos un contrato de encargo del tratamiento.

Este contrato debe recoger:

La obligación de tratar solo los datos personales cedidos por el responsable del tratamiento.

Que los datos no se utilizarán con finalidades diferentes a las previstas en el contrato, ni se comunicarán a otros.

Las medidas de seguridad implementadas o que debe implementar el encargado del tratamiento.

Qué se hará con los datos una vez cumplida la finalidad del tratamiento o el plazo de conservación.

Cabe señalar que no se considerarán encargados del tratamiento a las personas físicas que tengan acceso a los datos personales de alumnos, padres o tutores y empleados en su condición de empleados del centro o de la Administración educativa responsables del tratamiento (por ejemplo, los profesores que pueden acceder a los datos de sus alumnos no son encargados del tratamiento).

Deber de confidencialidad

Todo el personal del centro educativo que haya tenido acceso a datos personales tiene el deber de guardar secreto sobre los mismos, no publicarlos, difundirlos o filtrarlos, bien por intereses personales o en beneficio de terceros o bien de manera accidental. Este deber se prolongará una vez finalizada la relación contractual con el centro.

Para asegurar el cumplimiento del deber de confidencialidad, se puede recurrir a la inclusión de una cláusula de confidencialidad en el contrato de los empleados, en la que, además, se explicarán las consecuencias de no cumplir con este deber.

Puesto que hay determinados casos en que los datos personales de alumnos y exalumnos, así como de empleados y exempleados del centro educativo deben conservarse, incluso cuando se haya cumplido la finalidad para la que fueron recabados, se deberá proceder al bloqueo de dichos datos, de manera que no serán eliminados, pero no podrán usarse o accederse a ellos, salvo que así lo requiera una administración pública o las autoridades judiciales en el ejercicio de sus funciones.

Designación de Delegado de Protección de Datos

Con independencia de si son centros educativos públicos o privados, estos están obligados a designar o contratar un DPO, que se ocupará, entre otras funciones, de supervisar el cumplimiento de la normativa, asesorar al responsable del tratamiento y actuar como enlace entre la AEPD y el propio centro.

Esta obligatoriedad del delegado de protección de datos puede cumplirse designando un empleado del centro como tal o contratando los servicios de un DPO externo, por ejemplo, a través de una consultoría externa especializada en protección de datos.

Notificación de brechas de seguridad

En el caso de que se produzca un incidente de seguridad que dejé al descubierto o provoque la filtración de los datos personales de alumnos, padres o tutores o personal del centro educativo y pueda suponer un riesgo para sus derechos y libertades, este deberá informar, en un plazo no superior a 72 horas, a la AEPD y a los propios interesados cuyos datos se hayan visto afectados.

Otras consideraciones sobre protección de datos en centros educativos

Esta guía de protección de datos en centros educativos no estaría completa si, aparte de las obligaciones y requisitos que hemos visto que deben cumplir en materia de protección de datos los centros educativos, no mencionáramos las siguientes consideraciones, relacionadas con cómo y dónde pueden los centros educativos o su personal publicar datos personales.

¿Qué tipo de datos pueden publicar los centros educativos?

De acuerdo a la Ley de Protección de Datos, los centros educativos pueden publicar los siguientes datos personales:
- Listas de admitidos:
Se puede publicar la lista de alumnos admitidos siempre y cuando se haga de una manera que no suponga un acceso indiscriminado la información:

Publicación en tablones dentro del centro.

A través de una página web de acceso restringido.

Esta publicación deberá recoger solo el resultado final del baremo, no resultados parciales que puedan responder a datos o información sensible o poner de manifiesto la capacidad económica de la familia.

Esta información, no obstante, estará disponible para los interesados que ejerzan su derecho a reclamar.
- Notas de alumnos:
A diferencia de lo que ocurre en la educación universitaria, la publicación de notas en los centros educativos no está regulada y, por lo tanto, es un tema en el que es habitual que surjan dudas.

Para resolver estas dudas, la guía de protección de datos en centros educativos de la AEPD nos da algunas directrices, que resumimos a continuación:

Como norma general, las notas de los alumnos solo se deben facilitar a los propios alumnos y sus padres, evitando su exposición pública en tablones de anuncios o comunicándolas de forma oral en la clase.

Si las notas se comunican a través de una plataforma digital, estas solo deberían ser accesibles para los propios alumnos, sus padres o tutores.

En el caso de que el alumno fuese mayor de edad, los padres podrán solicitar el acceso a las notas cuando estos corran con los gastos educativos o de alimentos (en el caso de padres separados), ya que se considera que existe un interés legítimo de los padres derivado del mantenimiento de sus hijos mayores de edad.

- Beneficiarios de becas:
En estos casos hay que poner en valor dos situaciones:

Si la beca está fundada en una situación de discapacidad de los beneficiarios.

Si la beca puede afectar a la esfera íntima del afectado.

En estos casos, se podrá publicar solamente mediante el número identificador de la solicitud que solo el afectado conoce.
- Imágenes y videos:
Es habitual que los centros docentes, con motivo de eventos o celebraciones, recojan imágenes de alumnos, profesores y familiares. Pero ¿qué dice la ley de protección de datos en centros educativos respecto a la captación y publicación de imágenes en estas situaciones? Hay diferentes casuísticas que debemos tener en cuenta.

Primero, señalar que cuando el consentimiento para la captación y publicación de imágenes sea necesario, los alumnos mayores de 14 años podrán darlo ellos mismos, mientras que para los menores de 14 años, será necesario que el consentimiento lo den sus padres o tutores legales.

Así, cuando las imágenes o vídeos se capten con fines educativos, como pueden ser trabajos o evaluaciones, no será necesario recabar el consentimiento. Sí lo será cuando esas imágenes vayan a ser publicadas en la web del centro.

Los profesores podrán grabar a sus alumnos siempre y cuando la finalidad esté relacionada con la actividad docente y dichas imágenes solo estén accesibles para los propios alumnos, sus padres o tutores legales, aparte del propio profesor.

Si las imágenes las captan padres o tutores legales u otros familiares en el desarrollo de un evento escolar, al tratarse de un uso doméstico, la normativa de protección de datos no es de aplicación.

¿Dónde y cómo publicar los datos personales?

¿Dónde se pueden publicar datos personales y cómo hacerlo de acuerdo a la normativa de protección de datos para centros educativos?
- Tablón de anuncios:
Se pueden publicar listas de admitidos, notas y cualquier otra información similar en los tablones de anuncios de centro, cuando esta información deba estar disponible de forma pública. Si bien, esta publicación debe realizarse de manera proporcionada, es decir, sin que suponga un acceso indiscriminado a la misma (los tablones deben estar en el interior del centro o una web de acceso restringido) y solo deberá recoger el resultado final del baremo o contener ningún dato relativo a la situación particular de cada familia.

Una vez que ya no sean necesarios, estos listados se deberán retirar de los tablones.
- Página web y redes sociales:
Es habitual que la web de un centro educativo cuente con información referida a las actividades que desarrolla y los servicios que ofrece.

Debido a esto, en algunas ocasiones incluyen información que contiene datos de carácter personal de empleados del centro y los alumnos, por lo que se deben considerar y aplicar las obligaciones de la ley de protección de datos en centros educativos, en especial en lo que se refiere al consentimiento de los interesados.

Así mismo, si se van a subir fotografías o vídeos a la web del centro o las redes sociales, será necesario recabar el consentimiento expreso de los interesados (alumnos, padres o tutores legales, profesores y cualquier otro personal del centro). Además, se les proveerá de la siguiente información:

Datos que se van a publicar.

Redes sociales en las que se van a utilizar.

Finalidad de uso.

Quién puede acceder a los datos.

Plazo durante el que se van a conservar las imágenes, así como los criterios para su eliminación.

En el caso de que un profesor quiera usar las imágenes en su blog personal, al margen de la función de docencia, deberán siempre solicitar el consentimiento expreso de alumnos o padres o tutores legales, siendo el profesor el responsable del tratamiento.
- Otros medios:
Si en el centro se han instalado cámaras de videovigilancia, esta instalación debe responder a un interés legítimo del centro en mantener la seguridad e integridad de las personas e instalación. Y deberá tener en cuenta lo siguiente:

Su colocación debe ser proporcional, es decir, que la finalidad perseguida no se pueda conseguir por otros medios menos intrusivos y que la instalación de cámaras de seguridad ofrezca más beneficios que perjuicios (por ejemplo, velar por la seguridad física o psicológica de los menores).

Informar de su existencia mediante el distintivo correspondiente, donde debe figurar la información que exige la normativa de protección de datos.

No podrán colocarse nunca en zonas íntimas o donde se espere privacidad, como aseos o vestuarios.

Sanciones por no cumplir la normativa de protección de datos en centros educativos

No cumplir con la normativa de protección de datos en centros educativos es motivo de sanción. La cuantía de estas sanciones se determina con relación a la gravedad de las mismas, de acuerdo con las infracciones recogidas en la LOPDGDD y en el RGPD, de manera que:

Las infracciones leves (art. 74 de la LOPDGDD) están sancionadas con hasta 40.000 euros.

Las infracciones graves (art. 73 de la LOPDGDD) están sancionadas desde 40.001 a 300.00 euros.

Las infracciones muy graves (art. 72 de la LOPDGDD) están sancionadas desde 300.001 a 20 millones de euros (o el 4% del volumen de facturación, la cuantía que resulte superior).

¿Necesitas ayuda con la Ley de Protección de Datos en tu centro educativo?

Si después de leer esta guía de protección de datos en centros educativos aún tienes dudas o necesitas ayuda para su correcta aplicación, no dudes en ponerte en contacto con Grupo Atico34, nuestro equipo de profesionales expertos en protección de datos te ayudarán y asesorarán en todo cuanto necesites.

# data[].attributes.attachment_link.title
Protección de datos en centros educativos. Guía 2023 | Grupo Atico34

# data[].attributes.attachment_link.description
Guía para aplicar la ley de protección de datos en centros educativos. ¿Qué obligaciones RGPD y LOPDGDD se deben cumplir? ✅

# data[].attributes.attachment_link.readable_text
Hoy en día, la mayoría de los centros educativos tienen presencia en Internet, y es habitual ver que comparten en redes sociales fotos y vídeos de sus alumnos, así como que publiquan en su blog o página web las actividades educativas que se llevan a cabo. En la Línea de Ayuda en Ciberseguridad de INCIBE (a través de Internet Segura for Kids, su canal para menores) son frecuentes las consultas por parte de educadores y padres en relación a la toma y uso de fotografías en los colegios. Por eso, en este artículo aportamos información básica para salir de dudas.

Uso de fotos por el centro educativo

Los centros educativos están legitimados para realizar el tratamiento de datos personales necesarios para la función docente, como puede ser contar con una fotografía para el expediente académico. Sin embargo, para las instantánes hechas con fines complementarios a la función educativa, como una actividad en el aula o una excursión, es necesario contar con la autorización de los padres, excepto en situaciones donde prime el interés superior del menor.

Las imágenes, la voz o un vídeo que permitan la identificación inequívoca de una persona también se entienden como datos personales. En el caso de los menores hasta 14 años, es necesario contar con el consentimiento paterno para tratar estos datos. Por eso, lo adecuado es informar a los padres o tutores de la posibilidad de que se tomen fotografías de sus hijos, así como especificar su finalidad y periodo de validez: si se subirán a la web del centro, si se emplearán en documentos que se pueden hacer públicos, si se compartirán en redes sociales o si estas estarán abiertas o restringidas.

Una opción recomendable es utilizar distintas autorizaciones según el uso que se les vaya a dar. Para facilitar esta tarea, los centros educativos pueden apoyarse en los distintos modelos de consentimiento sobre datos personales que desde Internet Segura for Kids del Instituto Nacional de Ciberseguridad (INCIBE) hemos creado.

Imagen: IS4K

Tratamiento y gestión de fotos desde el centro educativo

El propio centro educativo decidirá cómo gestionar este tipo de información personal de la manera más apropiada, en función de sus necesidades, siempre y cuando cumpla con el actual Reglamento General de Protección de Datos (RGPD).

Lo adecuado es valorar las opciones antes de tomar la decisión, pues en muchas ocasiones se publican en redes sociales con el único fin de compartirlas con las familias. Ante esta situación, se podría proponer la alternativa de almacenarlas en un servidor de archivos con una gestión adecuada de usuarios y sus privilegios, para evitar la difusión pública de las imágenes. Eso sí, se debe prestar especial atención a la forma de guardar estas fotos con seguridad, teniendo en cuenta dónde las almacenamos y cómo (lo idóneo sería cifradas). Se trata de evitar tanto su pérdida accidental, como el que alguien las pueda ver sin permiso.

También es importante que el personal del centro docente aplique buenas prácticas como: conocer las políticas sobre protección de datos; dominar la política de protección de datos de las aplicaciones informáticas que se usan en el colegio; planificar qué hacer si sucede una pérdida, daño o tratamiento ilícito de esos datos; y disponer de los consentimientos necesarios en caso de ceder datos personales a empresas a las que se contraten servicios o con las que se colabore.

¿Qué ocurre cuando son los padres quienes realizan las fotos?

En algunas ocasiones, cuando se celebran fiestas organizadas por el propio centro, como en fin de curso, las actividades, los festivales u otros eventos, las familias acuden al colegio y es común que realicen fotos o vídeos de sus hijos. El problema puede surgir cuando en ellas aparecen también otros niños. Y es que, aunque se quiera hacer un uso doméstico de ellas y no compartirlas en Internet, se debería disponer del consentimiento del resto de padres implicados si sus hijos también aparecen en ellas.

El responsable sería la persona que capta o difunde las imágenes, por lo que si las hace un padre, no sería responsable el centro educativo. No obstante, siempre es conveniente que el colegio actúe de intermediario y defina estos aspectos trasladando a las familias buenas prácticas a seguir. Para ello puede informar con un criterio claro sobre si se permite o no la toma de fotografías y vídeos en este tipo de actos a través de una circular. Y un buen momento para hacerlo puede ser en la misma nota informativa donde se convoca a los padres a la celebración, aprovechando además la ocasión para invitarles a reflexionar sobre un uso responsable de la imagen de sus hijos.

Imagen: Freepik

En resumen...

Compartir públicamente fotografías en las que aparezcan menores puede originar situaciones como el grooming, por lo que es importante cuidar los datos personales y valorar las consecuencias de compartirlas, ya que pueden afectar a la privacidad y reputación. Además, hay que considerar que cualquier grupo de datos que por separado no permitan la identificación de una persona, pero sí en su conjunto, son considerados dentro del ámbito jurisdiccional de los datos personales y no pueden ser tratados por terceros libremente sin consentimiento. Por lo tanto, se debe tener en cuenta que:

Proteger la privacidad de los menores no es un capricho. Los padres o tutores están en su derecho de querer proteger la privacidad de su hijo, por lo que se debe respetar la decisión de oponerse a que el centro escolar publique contenido del menor.

Buscar alternativas para que nadie sea excluido. En los casos en los que no se cuente con la autorización de los padres para que la imagen de su hijo se comparta en Internet, se puede optar por pixelar, difuminar u ocultar los rostros de esos niños en las fotos. En ningún caso, se debe excluir de actividades a los menores que no tengan dicho consentimiento, ya que siempre debe prevalecer el "interés superior del menor" y este principio también incluye la ecuanimidad dentro de sus necesidades educativas.

Facilitar distintos modelos de consentimiento según la finalidad de uso de las fotos. Además, es importante tener en cuenta que la autorización concedida por los padres está sujeta al derecho de rectificación y oposición.

Valorar los pros y contras de hacer públicas esas imágenes desde el centro educativo. Dependiendo de la finalidad que se busque con la compartición de fotos y vídeos, una alternativa es la de crear una intranet a la que solo puedan acceder los familiares con un usuario y contraseña. Una vez que se comparte algo a través de Internet (Facebook, Instagram, página web, etc.), escapa de nuestro control pudiendo llegar a personas que no deseamos.

Fijar unas normas claras en cuanto a la realización de fotografías en el recinto escolar. Además, es recomendable informar a las familias de aspectos como la responsabilidad del autor si se incumplen las normas fijadas; por ejemplo, ante situaciones como captar imágenes desde el exterior del recinto en el momento que los menores disfrutan del recreo.

¡Cumplir con el RGPD desde el centro educativo! Un recurso útil para ello puede ser apoyarse en la' Guía para centros educativos' de laAgencia Española de Protección de Datos (AEPD).

¿Eres partidario de las fotos en el cole? ¿Sabes cómo las gestionan en el centro educativo de tu hijo? No olvides compartir tu opinión en el hilo de comentarios. Y recuerda que si continuas con dudas, puedes consultar de manera gratuita y confidencial a la Línea de Ayuda gratuita en Ciberseguridad de INCIBE: 900 116 117.

# data[].attributes.attachment_link.title
¿El colegio puede publicar fotos de mis hijos en Internet? | Consumer

# data[].attributes.attachment_link.description
Hoy en día, la mayoría de los centros educativos tienen presencia en Internet, y es habitual ver que comparten en redes sociales fotos y vídeos de sus alumnos, así como que publiquan en su blog o página web las actividades educativas que se llevan a cabo.

# data[].attributes.attachment_link.readable_text
El nuevo Reglamento General de Protección de Datos, que entró el pasado viernes 25 de mayo en vigor, también afecta a los centros educativos: desde qué datos de centro y alumnado se pueden dar, hasta si es conveniente que un profesor participe en un grupo de WhatsApp con padres o si se pueden instalar cámaras de vigilancia en los patios de recreo o en los comedores; incluso en las aulas alegando posibilidad de conflictividad.

Uno de los temas centrales de esta revisión de protección de datos se centra en las imágenes: fotos y vídeos que se realizan en clase, en los que sale el alumnado, haciendo trabajos o en algún festival o competición deportiva. La Agencia Española de Protección de Datos (AEPD), en su guía sectorial dedicada a los centros educativos para esta actualización, recomienda que la publicación en la web de los centros "tenga lugar en un espacio privado, al que se acceda mediante identificación y contraseña".
¡Ojo con el tratamiento de las imágenes!
La guía para los centros dice que si la grabación de las imágenes se produjera por el centro escolar con fines educativos, como trabajos escolares o evaluaciones, el centro o la Administración educativa estarían legitimados para dicho tratamiento sin necesidad del consentimiento de los alumnos o de sus padres o tutores.

Cuando la grabación de las imágenes no se corresponda con dicha función educativa, sino que se trate de imágenes de acontecimientos o eventos que se graban habitualmente con fines de difusión en la revista escolar o en la web del centro, "se necesitará contar con el consentimiento de los interesados, a quienes se habrá tenido que informar con anterioridad de la finalidad de la grabación, en especial de si las imágenes van a estar accesibles de manera indiscriminada o limitada a la comunidad escolar", especifica el texto. "En caso de conflicto entre los progenitores sobre la grabación de las imágenes de sus hijos deberá plantearse ante el juez competente en materia de familia para su resolución", añade.
¿Puede un profesor grabar imágenes de los alumnos para una actividad escolar?
Sí. Pueden disponer la realización de ejercicios que impliquen la grabación de imágenes, normalmente de los propios alumnos, que solo deberán estar accesibles para los alumnos involucrados en dicha actividad, sus padres o tutores y el profesor correspondiente. Es decir, en ningún caso el mero hecho de realizar la grabación supone que la misma se pueda difundir de forma abierta en internet y que se pueda acceder de manera indiscriminada. En estos casos el responsable del tratamiento es el propio centro o la Administración educativa.
Es responsabilidad de los progenitores el uso que hagan de las fotos.
¿Pueden los familiares de los alumnos grabar las imágenes de un evento? "Sí, siempre y cuando se trate de imágenes captadas exclusivamente para su uso personal y doméstico. Si se difundieran fuera del ámbito privado, familiar y de amistad, por ejemplo mediante su publicación en internet accesible y abierto, los familiares asumirían la responsabilidad por la comunicación de las imágenes a terceros, salvo que hubieran obtenido el consentimiento previo de los interesados", expresa la guía.
Si unos padres se niegan a que se tomen imágenes de su hijo en un evento, ¿el centro ha de cancelar dicho evento?
No. Se ha de informar a los padres que la toma de fotografías y vídeos es posible como actividad familiar, exclusivamente para uso personal y doméstico, que está excluida de la aplicación de la normativa de protección de datos.
¿Y prohibir la toma de imágenes?
No, por los mismos motivos que el punto anterior. Simplemente es recomendable, según la guía de la AEPD, que el centro advierta a los asistentes a los eventos de que se pueden grabar imágenes de los alumnos para su utilización exclusivamente personal, familiar y de amistad. "No se deben publicar este tipo de grabaciones en internet en abierto, a no ser que se cuente con el consentimiento de todos aquellos que aparecen en las imágenes, de sus padres o tutores si son menores de 14 años", incluye.
Los centros, pendientes de consultar a los padres.
En el fondo, la nueva guía para centros, apela a la responsabilidad de los centros para conciliar la privacidad de los menores con el uso de las nuevas tecnologías. El tema de la protección de las fotos en la red ya se venía hablando en los últimos meses. Todos los años, a principio de curso, los padres firman un consentimiento (o no) para que los estudiantes puedan salir en fotos.

En el caso de que las imágenes se vayan a emplear para fines educativos, los colegios no necesitarían pedir de nuevo la autorización parental. Por otra parte, si la captación de fotos o vídeos se realizara fuera del recinto escolar por el personal del centro, por ejemplo durante una excursión, sí que se requeriría el consentimiento expreso.

# data[].attributes.attachment_link.title
El Gobierno aconseja a los colegios que el acceso a fotos escolares sea con contraseña

# data[].attributes.attachment_link.description
El nuevo Reglamento General de Protección de Datos, que entró el pasado viernes 25 de mayo en vigor, también afecta a los centros educativos: desde qué datos de centro y alumnado se pueden dar, hasta si es conveniente que un profesor participe en un grupo de WhatsApp con padres o si se pueden instalar cámaras de vigilancia en los patios de recreo o en los comedores; incluso en las aulas alegando posibilidad de conflictividad.

# data[].attributes.attachment_link.readable_text
¿Tu centro escolar dispone de página web, un blog o redes sociales donde se comparten imágenes de los alumnos? ¿Pueden los familiares captar imágenes en el interior del centro?
Como ya comentamos en anteriores publicaciones, ver aquí, la utilización de la imagen de un menor está sujeta a la normativa sobre protección de datos, ya que la imagen se considera un dato de carácter personal, así como a lo previsto en la Ley Orgánica 1/1982, de 5 de mayo, sobre protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, y en la Ley Orgánica 1/1996, de 15 de enero, de protección jurídica del menor.

En este post vamos a intentar resolver aquellas posibles cuestiones que plantea el tratamiento de las imágenes en los centros escolares, así como la forma correcta de gestionarlas para prevenir problemas y evitar conflictos legales. Para ello, vamos a referirnos fundamentalmente a las disposiciones recogidas en la normativa, así como de las recomendaciones que hace la Agencia Española de Protección de Datos (AEPD) en su Guía para centros educativos (La Guía).
* Cuando las imágenes son captadas por los padres y familiares de los alumnos.
Es habitual que los propios padres y familiares de los alumnos hagan fotografías y graben vídeos en eventos o festivales, abiertos al público, en los que éstos participan.

En estos casos, en virtud del artículo 2.2c) del Reglamento General de Protección de Datos (RGPD) y del 2.2a) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), estamos hablando de que la captación de esas imágenes se corresponde, en principio, a una actividad exclusivamente personal y doméstica, y, por tanto, quedan excluidas de la aplicación de la normativa de protección de datos.

Es altamente recomendable, y así también lo recoge La Guía, que el centro advierta a los asistentes a los eventos de que se pueden grabar imágenes de los alumnos para su utilización exclusivamente personal, familiar y de amistad.

Además, los padres y familiares han de tener en cuenta que, para publicar este tipo de grabaciones en internet en abierto, deberán contar con el consentimiento de todos aquellos que aparecen en las imágenes, de sus padres o tutores si son menores de 14 años.

Ahora bien, ¿puede un centro prohibir que los padres y familiares hagan fotografías o graben vídeos de los alumnos en el interior del mismo?

No existe disposición legal, ni en lo dispuesto en la normativa en materia de protección de datos, ni en la Ley Orgánica 2/2006, de 3 de mayo, de Educación (Ley de Educación), que obligue a aplicar este tipo de medidas en los centros; ahora bien, ello no quita para que sean los propios centros los que decidan dentro de su política interna llevar a cabo tal prohibición, valorando previamente cuales serían los pros y los contras que la misma traería consigo.
* Cuando las imágenes sean captadas por el centro escolar.
En lo que a la normativa en materia de protección de datos se refiere, debemos partir de que existe el deber por parte del centro, de obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal, salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes.

En este sentido, hay que diferenciar además quién va a captar las imágenes y, sobre todo, la finalidad para la que se captan:

- Para fines educativos: (trabajos, evaluaciones, etc.). El centro está legitimado para dicho tratamiento sin necesidad de obtener el consentimiento de los alumnos o de sus padres o tutores.
Entonces, ¿pueden los profesores captar imágenes de los alumnos para una actividad escolar?

En el marco de desarrollo de la programación escolar, los profesores pueden disponer la realización de ejercicios que impliquen la grabación de imágenes, normalmente de los propios alumnos. A estas imágenes sólo podrán acceder los alumnos involucrados en dicha actividad, sus padres, tutores y el profesor involucrado; y no se pueden difundir de forma abierta en internet. En estos casos el responsable del tratamiento no es el profesor, sino el propio centro escolar.

- Para que determinados eventos o actividades sean difundidos en la página web, blog, RRSS o cualquier otro medio de difusión: en este caso, el centro sí que necesita recabar el consentimiento de los interesados, a quienes se habrá tenido que informar con anterioridad de la finalidad de la recogida y de si las imágenes van a estar accesibles de forma indiscriminada o, sin embargo, si el acceso se va a limitar a la comunidad escolar. La Guía recomienda que la publicación en la web de los centros tenga lugar en un espacio privado, al que se pueda acceder mediante identificación y contraseña.

El RGPD no hace referencia directa al tratamiento de datos de menores, sino que por analogía, se aplica lo recogido en su artículo 8 en relación con la oferta directa a niños de servicios de la sociedad de la información: el tratamiento se considerará lícito cuando tenga como mínimo 16 años, y si es menor de esta edad, únicamente se considerará lícito si el consentimiento fue otorgado por el titular de la patria potestad o tutela sobre el niño, y solo en la medida en que se dio o autorizó. Asimismo, señala que los estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que esta no sea inferior a 13 años.

Si acudimos a lo dispuesto en el artículo 7 de la LOPDGDD relativo al consentimiento de los menores de edad, el tratamiento de sus datos únicamente podrá ampararse con carácter general en esta legitimación cuando sea mayor de 14 años, exceptuando los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto jurídico en cuyo contexto se recaba el consentimiento. En caso de conflicto entre los progenitores sobre la grabación de las imágenes de sus hijos, deberá plantearse ante el juez competente en materia de familia para su resolución.

Debemos añadir que, si bien es cierto que la Disposición final décima de la novedosa LOPDGDD incluye alguna modificación en la Ley de Educación, esta no añade ni modifica ninguna cuestión respecto del uso de las fotografías que se realicen en los centros escolares.

Podemos ver que en este sentido hay distintas resoluciones ( R/02252/2015), ( R/02429/2016), ( R/02536/2015) de la AEPD, en las que se ha sancionado a centros escolares por haber difundido imágenes de menores sin haber obtenido el consentimiento correspondiente.
* Por terceros.
De nuevo hay que distinguir dos situaciones:
- Que las imágenes sean realizadas en el marco de un encargo del centro educativo: será el centro quien deba obtener el consentimiento de los alumnos o de sus padres o tutores.
- Que las imágenes sean realizadas por un tercero (empresa de actividades extraescolares, museo, exposiciones, un club deportivo, etc.) para sus propias finalidades.
En este caso, el tercero es el responsable del tratamiento de esas imágenes y deberá contar con el consentimiento previo de los interesados, bien recabándolo él mismo o bien a través del propio centro.

Tanto el equipo directivo, como los profesores y el personal administrativo en el ejercicio de sus funciones debe tener presente estas consideraciones en aras de mejorar la concienciación en esta materia en los centros escolares.

# data[].attributes.attachment_link.title
PRODAT Protección de Datos para empresas RGPD, LOPDGDD y LSSI - Tratamiento de imágenes en los centros escolares con el RGPD y la LOPDGDD

# data[].attributes.attachment_link.description
¿Tu centro escolar dispone de página web, un blog o redes sociales donde se comparten imágenes de los alumnos? ¿Pueden los familiares captar imágenes en el interior del centro?

# data[].attributes.attachment_link.readable_text
No existen unas directrices claras, uniformes y unívocas por parte de las Consejerías de Educación a los centros escolares sobre cómo tratar estos datos

getty

Marta tiene un hijo de casi tres años que el próximo mes de septiembre iniciará su andadura escolar en un pequeño colegio público de Navarra. Mientras cumplimentaba los papeles de la matrícula, se sorprendió al encontrarse un apartado en el que le pedían su consentimiento para que el colegio pudiese compartir las fotos de su hijo de forma pública en la web del centro. Ante su negativa a dar la autorización, Marta confiesa haberse sentido "señalada y presionada" con el argumento de que hasta la fecha solo una familia de los 600 alumnos matriculados en el centro no había consentido el uso de las imágenes de sus hijos. "No autorizar es lo raro. Me dicen que es un modo de excluir a mi hijo de algunas actividades, insistiéndome en eso les obligará a buscar estrategias para evitar que el niño salga en las fotos sin que él se dé cuenta. Si dan la opción de elegir, que respeten la decisión de los padres. ¿O es que es un mero trámite y dan por hecho que vamos a decir que sí? ", se pregunta contrariada.

El de Marta no es un caso aislado en una época en la que los centros escolares utilizan las fotografías de los niños, tanto en las webs como en redes sociales como Facebook o Instagram, como reclamo, estrategia de marketing y medio para mostrar gráficamente el trabajo que se realiza en el colegio. "No es la primera vez que oigo esto. El consentimiento así prestado es nulo de pleno derecho ya que este tiene que ser libre. Y esto debería estar reflejado en la hoja que te dan para firmar ese consentimiento cada año, que debería contar con una cláusula especifica donde se señale que el menor no será discriminado si los padres no prestan consentimiento para ceder el uso de sus fotos", afirma Ana Belén Spínola Pérez, abogada experta en Derecho Penal, Familia y Nuevas Tecnologías en Ad&Law.

Ausencia de directrices claras

El derecho a la imagen de los menores es un derecho fundamental altamente protegido. Lo está en el artículo 18 de la Constitución, en la Ley 1/82 de Protección Civil del Derecho al Honor, en la Ley Orgánica 1/96 de Protección Jurídica del Menor, en la Carta de Derechos Fundamentales de la Unión Europea (2000/C 364), que en su artículo 24 establece que "el interés superior del menor constituirá una consideración primordial"; y, por supuesto, como afirma Ana Spínola, en el nuevo Reglamento General de Protección de Datos (RGPD), que empezará a aplicarse a partir del 25 de mayo y que, aunque no tiene como finalidad específica la protección al menor, "de su espíritu y de sus considerandos sí se deriva una intención de protección de la infancia, para empezar porque los menores están consideradas personas vulnerables de por sí, por lo que el tratamiento de sus datos personales está especialmente protegido".

Sin embargo, y pese a toda esta legislación que salvaguarda el derecho fundamental a la propia imagen de los menores, para la abogada "es cuanto menos curioso que no existan unas directrices claras, uniformes y unívocas por parte de las Consejerías de Educación a los centros escolares sobre cómo tratar estos datos, qué datos recabar, y qué uso se debe o se puede hacer de ellos".

En cuanto al uso cada vez más al alza de las imágenes en redes sociales, la AEPD establece que éste requiere contar con el consentimiento "inequívoco" de los interesados

En ese sentido y hasta la fecha, solo la Agencia Española de Protección de Datos (AEPD) ha dado pautas al respecto a través de su Guía para centros educativos, en la que diferencia entre grabaciones y fotografías realizadas con fines educativos, como trabajos escolares o evaluaciones, en cuyo caso "el centro o la Administración educativa estarían legitimados para dicho tratamiento sin necesidad del consentimiento de los alumnos o de sus padres o tutores"; y las imágenes de acontecimientos y eventos que trascienden esa función educativa y que se utilizan con fines de difusión en la revista escolar o en la web del centro, para las que "se necesitará contar con el consentimiento de los interesados, a quienes se habrá tenido que informar con anterioridad de la finalidad de la grabación, en especial de si las imágenes van a estar accesibles de manera indiscriminada o limitada a la comunidad escolar".

Añade Ana Belén Spínola que con la entrada en vigor de la RGPD los centros escolares deberán determinar antes de recabar datos de los menores "cuál va a ser su finalidad, qué riesgos puede llevar el tratamiento de esos datos y medir las consecuencias que dichos datos puedan llegar a tener si son mal utilizados o, por negligencia en su tratamiento, acaben en manos de quien no está autorizado para tratarlos. O lo que es peor, en manos de un delincuente". En ese sentido explica que los centros escolares concertados y privados están obligados a realizar estas evaluaciones de impacto y a tener unas medidas de seguridad adecuadas a los datos que tratan. Algo que, por el contrario, no sucede con los colegios públicos, no afectados directamente por esta normativa, "lo que no quiere decir que no deban cumplirla, debiéndose impulsar políticas públicas que doten de medios a los referidos centros y de protocolos de actuación al respecto, pues lo que está en juego es la privacidad del menor".

Formas de compartir las imágenes de los menores

La Guía para centros educativos de la AEPD establece que "se pueden tomar imágenes de los alumnos en determinados eventos desarrollados en el entorno escolar con la única finalidad de que los padres puedan acceder a ellas, pero debe hacerse en un entorno seguro que exija la previa identificación y autenticación de los alumnos, padres o tutores". En ese mismo sentido, la guía añade que "en todo caso, sería preciso recordar a quienes acceden a las imágenes que no pueden, a su vez, proceder a su divulgación de forma abierta".

En el caso de querer compartir fotos y vídeos de forma pública, Ana Spínola afirma que los centros deben obtener el consentimiento "explícito y libremente otorgado de los padres", a los que se debe informar "con la mayor claridad posible" sobre el uso y la finalidad que se le va a dar a esos datos "para que estos puedan entender exactamente cómo y para qué se van a usar esas fotos y si realmente quieren prestar ese consentimiento". Además, según la abogada de Ad&Law, el centro escolar debería formar al profesorado en el uso de esas imágenes y adoptar las "medidas de seguridad adecuadas para evitar el ataque por terceros a sus bases de datos y que esas fotos acaben en las manos equivocadas".

En cuanto al uso cada vez más al alza de las imágenes en redes sociales, la AEPD establece que este requiere contar con el consentimiento "inequívoco" de los interesados, a los que hay que informar "previamente de manera clara de los datos que se van a publicar, en qué redes sociales, con qué finalidad, quién puede acceder a los datos, así como de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición". Al respecto, la RGPD incluye también la obligación de informar a los padres "sobre el plazo durante el que se conservarán las imágenes o, si no fuera posible, de los criterios para determinarlo".

En todo caso, concluye la experta, en la medida de los posible y de cara a publicar fotografías en redes abiertas, lo más adecuado es "no fotografiar a los menores de manera que se les identifique perfectamente"

Para Spínola, el uso de fotografías y vídeos de menores en redes sociales abiertas como Facebook, muchas veces realizado con el único fin de publicitar al colegio, "no parece que obedezca al principio de interés superior del menor, sino más bien al interés comercial del centro", por lo que considera que "no existe legitimación para ese uso, que excede con mucho el uso doméstico del que habla el Reglamento". En todo caso, y de compartirlas, además de la autorización expresa de los padres, considera que lo más adecuado es que el centro establezca un protocolo con pautas para el tratamiento de esas imágenes. Entre esas pautas, por ejemplo, para la abogada el pixelado de los rostros "está muy bien como medida de protección de la imagen del menor" siempre y cuando no se nombre o etiquete al niño en la publicación, en cuyo caso "el intento de anonimización no será tal".

Por último, en cuanto al envío de imágenes a través de grupos privados de WhatsApp, una estrategia que también utilizan algunos centros, Spínola afirma que "no es incorrecto si hay consentimiento y se informa a los padres que no están autorizados a no dar a estas fotos un uso doméstico. Es decir, que no están autorizados a difundirlas más allá de su ámbito doméstico".

En todo caso, concluye la experta, en la medida de lo posible y de cara a publicar fotografías en redes abiertas, lo más adecuado es "no fotografiar a los menores, de manera que se les identifique perfectamente". En ese sentido, añade que las fotos de grupo, donde se ve a los menores de lejos y son más difícilmente identificables, "van a ser menos invasivas en la intimidad y en la seguridad del menor que una foto directa del niño más guapo y feliz del colegio".

Más información

# data[].attributes.attachment_link.title
¿Puede el colegio publicar fotos de mi hijo?

# data[].attributes.attachment_link.description
No existen unas directrices claras, uniformes y unívocas por parte de las Consejerías de Educación a los centros escolares sobre cómo tratar estos datos Marta tiene un hijo de casi tres años que el próximo mes de septiembre iniciará su andadura escolar en un pequeño colegio público de Navarra.

# data[].attributes.attachment_link.readable_text
La consejería de Educación ha elaborado dos documentos de interés para todos los centros escolares públicos. Ambos documentos tienen su causa en la entrada en vigor el pasado 25 de mayo del nuevo Reglamento Europeo en materia de protección de datos personales (Reglamento UE 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril).

De esta forma, y para adecuarlo a las nuevas exigencias en esta materia, se ha procedido a adaptar la redacción del documento tipo por el que los centros escolares recaban el consentimiento previo de los padres y madres, y en su caso tutores, de alumnos de menos de 14 años, o del propio alumno/a si tiene 14 años o más, y posibilitar con dicho consentimiento la difusión de actividades de los centros en las que se tratan datos personales del alumnado, como son su imagen o su voz.

Las instrucciones tienen la finalidad de informar a los centros escolares de la nueva normativa aplicable al tratamiento de estos datos personales y facilitar y aclarar la cumplimentación del modelo de consentimiento que se remite en formato Word.

Los documentos se encuentran en Ficheros disponibles.

# data[].attributes.attachment_link.title
Dirección Provincial de Palencia - Portal de Educación de la Junta de Castilla y León - Nuevo modelo de consentimiento informado tratamiento de imágenes/voz de alumnos en centros de titularidad pública - curso 2018/2019

# data[].attributes.attachment_link.description
La consejería de Educación ha elaborado dos documentos de interés para todos los centros escolares públicos. Ambos documentos tienen su causa en la entrada en vigor el pasado 25 de mayo del nuevo Reglamento Europeo en materia de protección de datos personales (Reglamento UE 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril).

# data[].attributes.attachment_link.readable_text
El desarrollo de las tecnologías de la información y comunicación ha facilitado la captación, grabación y reproducción de imágenes, proporcionando medios que prácticamente han convertido en un fotógrafo o realizador de vídeos a cualquier persona que disponga de un teléfono móvil.

Con ocasión de la celebración de actos escolares o de eventos en centros educativos en los que los alumnos y los profesores son los protagonistas, tanto por los familiares como por el propio centro se toman fotografías y graban vídeos en los que se recogen sus imágenes. Estos hechos, comunes en los eventos escolares, dan lugar a que se planteen muchas cuestiones sobre quién y cómo se pueden captar las imágenes, qué requisitos se han de cumplir, con qué finalidad y a quién se pueden comunicar.

Según quién vaya a grabar las imágenes y la finalidad para la que se graben será necesario observar unos determinados requisitos.

Si la grabación de las imágenes se produjera por el centro escolar con fines educativos, como trabajos escolares o evaluaciones, el centro o la Administración educativa estarían legitimados para dicho tratamiento sin necesidad del consentimiento de los alumnos o de sus padres o tutores. Cuando la grabación de las imágenes no se corresponda con dicha función educativa, sino que se trate de imágenes de acontecimientos o eventos que se graban habitualmente con fines de difusión en la revista escolar o en la web del centro, se necesitará contar con el consentimiento de los interesados, a quienes se habrá tenido que informar con anterioridad de la finalidad de la grabación, en especial de si las imágenes van a estar accesibles de manera indiscriminada o limitada a la comunidad escolar.

En caso de conflicto entre los progenitores sobre la grabación de las imágenes de sus hijos, deberá plantearse ante el juez competente en materia de familia para su resolución.

Casos prácticos y ejemplos

Se recomienda que la publicación en la web de los centros tenga lugar en un espacio privado, al que se acceda mediante identificación y contraseña.

Por otra parte, es muy frecuente que los padres y familiares de alumnos tomen fotografías y graben vídeos en eventos festivos, conmemorativos, deportivos o de otra índole, en los que participan los alumnos.

En estos casos la grabación de las imágenes suele corresponder a una actividad exclusivamente personal y doméstica, es decir, aquellas que se inscriben en el marco de la vida privada, familiar y de amistad, que están excluidas de la aplicación de la normativa de protección de datos.

En otras ocasiones no es el centro escolar el que toma las fotografías o vídeos de los alumnos ni tampoco sus familiares, sino que son terceros, ya sea la empresa que presta un determinado servicio, por ejemplo, la celebración de actividades extraescolares o un club deportivo.

De nuevo hay que distinguir: si la grabación de imágenes se realiza por encargo del centro educativo, en cuyo caso éste deberá obtener el consentimiento de los alumnos o de sus padres o tutores, o si es el tercero quien toma la fotografías o graba los vídeos para sus propias finalidades, que tendrá que contar con el previo consentimiento de los interesados, ya lo recabe él mismo o a través del centro, en cuyo caso se deberá especificar que el tercero es el responsable del tratamiento.

# data[].attributes.attachment_link.title
5. Tratamiento de las imágenes de los alumnos

# data[].attributes.attachment_link.description
El desarrollo de las tecnologías de la información y comunicación ha facilitado la captación, grabación y reproducción de imágenes, proporcionando medios que prácticamente han convertido en un fotógrafo o realizador de vídeos a cualquier persona que disponga de un teléfono móvil.