# data[].attributes.attachment_link.readable_text
Desde el 25 de mayo de 2018 todas las empresas que manejan datos de caracter personal, incluidos los centros educativos, tienen que estar adaptados al nuevo Reglamento General de Protección de Datos. Pero, ¿sabes cómo tratar las fotos y vídeos de tus alumnos y alumnas? En este post te contamos cómo hacerlo cumpliendo en todo momento con la nueva normativa europea.

Conceptos básicos

¿Qué son datos de caracter personal?

El nombre y apellidos de un alumno, de sus padres, su dirección, su número de teléfono o su correo electrónico son datos de carácter personal. También lo son las imágenes de los alumnos.

¿Qué es un Fichero?

Un fichero es cualquier lugar donde almacenas datos de caracter personal. Puede ser una carpeta en el ordenador, un espacio en la nube o una física en tu estantería. El RGPD suprime la obligación de notificar los ficheros a la Agencia Española de Protección de Datos y a las autonómicas, y se centra en las actividades del tratamiento.

¿Quién es el Responsable del tratamiento de los datos?

Centros educativos públicos. El responsable del tratamiento será normalmente la Administración pública correspondiente: la Consejería de la Comunidad Autónoma competente en materia educativa, salvo para los centros de Ceuta y Melilla o los centros en el exterior titularidad del Estado dependientes del Ministerio de Educación Cultura y Deporte.

Centros concertados y privados. Los responsables del tratamiento de los datos serán los propios centros.

¿Qué es un Encargado del tratamiento?

Personas, empresas o servicios que prestan servicios al centro y que manejan datos de carácter personal.

El nuevo reglamento si trabajas en un centro educativo.

Datos de categorías especiales

Según el nuevo reglamento, manejáis datos de categorías especiales. Estos son lo relativos a la raza, origen étnico, datos biométricos o afiliación sindical. Estos datos están sujetos a controles más estrictos.

DPO o Delegado de Protección de Datos

Aunque la adaptación a la nueva normativa implica a todo el personal del centro, según el nuevo reglamento, si el centro es muy grande y es necesario llevar un seguimiento a gran escala de las personas o de estos datos de categorías especiales, el colegio deberá designar a un Delegado de Protección de Datos o DPO. Puede ser una persona que trabaje en el centro o un agente externo, y puede ser la misma para un grupo de colegios.

Informar a las familias

Como siempre, se debe informar a las familias de:

La existencia de un fichero o tratamiento de datos personales.

La finalidad para la que se recaban los datos y su licitud, por ejemplo, para el ejercicio de la función educativa, o para difundir y dar a conocer las actividades del centro.

La obligatoriedad o no de facilitar los datos y las consecuencias de la negativa a facilitarlos

Los destinatarios de los datos

Los derechos de los interesados y dónde ejercitarlos.

La identidad del responsable del tratamiento: la Administración educativa o el centro.

Ampliar la información

A partir del 25 de mayo de 2018, la información que debe facilitarse a los titulares de los datos cuando se recaben de ellos mismos, añadiendo los datos de contacto del delegado de protección de datos y el plazo de conservación o los criterios para determinarlo.

Aplicaciones informáticas

Los centros deben conocer en profundidad las aplicaciones que vayan a utilizar, su política de privacidad y sus condiciones de uso, debiendo rechazarse las que no ofrezcan información sobre el tratamiento de los datos personales que realicen.

Kuicco School te garantiza el cumplimiento del nuevo reglamento. Aquí puedes consultar nuestra política de privacidad y nuestras condiciones de uso.

Aplicaciones de mensajería

La AEPD y el nuevo reglamento europeo desaconseja el uso de aplicaciones de mensajería instantánea (como WhatsApp o Telegram) entre el centro y las familias o entre profesores y alumnos.

Los que subes a Internet

Los profesores deben tener cuidado con los contenidos del trabajo de clase que suben a Internet. Las fotos que subes a un blog pasan a formar parte del inmenso almacén digital que es Internet y están a disposición de cualquiera que quiera descargarlas haciendo una simple búsqueda en el navegador. Evita primeros planos de tus alumnos y alumnas e imágenes donde aparezcan alumnos con el logo del colegio. Cuanta menos información pueda extraerse de las imágenes, mejor.

Igualmente se debe evitar el uso de servicios gratuitos de mensajería o correo electrónico para compartir imágenes de menores. Al hacerlo estamos regalando copias de las fotos o los videos, perdiendo automáticamente el control sobre ellas.

Tampoco es aconsejable el almacenamiento de este tipo de imágenes en plataformas cloud que presten el servicio de forma gratuita. Estas plataformas obtienen beneficios compartiendo los datos que obtienen de las imágenes para fines publicitarios. Conviene seguir siempre la máxima "En Internet, si algo es gratis, el producto eres tú".

Educar en privacidad

Los profesores deben enseñar a valorar la privacidad de uno mismo y la de los demás, y enseñar a los alumnos y alumnas que no pueden sacar fotos ni vídeos de otros alumnos o alumnas ni de personal del centro sin su consentimiento y, en ningún caso, hacerlos circular por las redes sociales para cualquier forma de violencia (ciberacoso, grooming, sexting o de violencia de género).

Más información

Si quieres saber más sobre el nuevo Reglamento General de Protección de Datos y cómo aplicarlo en tu centro, puedes consultar la guía Protección de Datos en Centros Educativos, elaborada por la AEPD. La agencia también pone a tu disposición una serie de vídeos bajo el lema Tú controlas en Internet, y ofrece un taller para familias titulado Los menores y su cibermundo.

Si quieres compartir fotos y vídeos de tus alumnos y alumnas con sus familias de forma privada y segura cumpliendo con el nuevo reglamento, prueba Kuicco School en tu centro.

# data[].attributes.attachment_link.authors[].name
Kuicco, guarda fácilmente los mejores momentos de la vida de tus hijos y compártelos con tus seres queridos de forma privada y segura. Y ahora también, con Kuicco School, ¡Kuicco en el cole!

# data[].attributes.attachment_link.title
Los colegios y el nuevo Reglamento General de Protección de Datos - Blog Kuicco

# data[].attributes.attachment_link.description
Desde el 25 de mayo de 2018 todas las empresas que manejan datos de caracter personal, incluidos los centros educativos, tienen que estar adaptados al nuevo Reglamento General de Protección de Datos. Pero, ¿sabes cómo tratar las fotos y vídeos de tus alumnos y alumnas?

# data[].attributes.attachment_link.readable_text
¿Cómo afecta el nuevo RGPD a la publicación de fotos de menores por parte de colegio?

La vuelta al cole y el papeleo de la matrícula en el centro escolar trae de la mano, cada vez con mayor frecuencia, la inclusión de cláusulas que permiten al colegio la captación y publicación de fotos o vídeos en los que aparecen sus alumnos. Su uso puede ser educativo, pero muchas veces está relacionado con estrategias de marketing y comunicación del propio centro: mostrar sus actividades en redes sociales, aumentar su comunidad de seguidores al compartir fotos de niños que sus familiares y amigos quieran ver... ¿Es esto lícito? ¿Qué debe hacer el centro y cuáles son los derechos de los niños? Analizamos esta nueva realidad a la luz de la normativa en España y, en especial, del nuevo Reglamento Europeo de Protección de Datos (RGPD) que tanto ha dado que hablar en los últimos meses.
Si tienes dudas sobre cualquier aspecto legal relacionado con tus hijos o con derecho de familia, contacta con nosotros.
El escenario es bien conocido por los padres y madres con hijos menores de edad: grupos de WhatsApp en los que se comparte material audiovisual de las actividades escolares; páginas de Facebook o webs escolares con vídeos de excursiones, eventos o prácticas en clase... Pero nada de esto es posible sin el consentimiento de los padres, del tutor o del propio menor (a partir de cierta edad). Los responsables del niño tienen todo el derecho a negarse al uso de su imagen y sus datos personales (como es una fotografía) en estos espacios. Basta con no dar su conformidad, ya que el consentimiento debe ser, en general, expreso.

En cualquier caso, es importante aclarar que se trata de una práctica legal siempre que exista ese consentimiento, aunque en algunos casos (que veremos) bastará con que el centro educativo informe a los padres, tutores o menores con capacidad para decidir sobre su propia imagen.

La realidad es que estas cláusulas se integran cada vez más en los papeles de la matrícula como mera formalidad y normalmente los progenitores dan su consentimiento (a veces sin ser conscientes de ello), pero es importante ser conscientes de que el derecho a la imagen de los menores es un derecho fundamental y, por tanto, se encuentra muy protegido en nuestro ordenamiento jurídico.

En concreto, el artículo 18 de la Constitución Española (CE), en la Ley 1/82 de Protección Civil del Derecho al Honor, en la Ley Orgánica 1/96 de Protección Jurídica del Menor y la Carta de Derechos Fundamentales de la Unión Europea (2000/C 364) hablan sobre ello:

1. Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen.

2. La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.

Artículo 3 Ley 1/1982, de protección del derecho al honor, a la intimidad personal y propia imagen

1. El consentimiento de los menores e incapaces deberá prestarse por ellos mismos si sus condiciones de madurez lo permiten, de acuerdo con la legislación civil.

2. En los restantes casos, el consentimiento habrá de otorgarse mediante escrito por su representante legal, quien estará obligado a poner en conocimiento previo del Ministerio Fiscal el consentimiento proyectado. Si en el plazo de ocho días el Ministerio Fiscal se opusiere, resolverá el juez.

Artículo 24 Carta de Derechos Fundamentales de la Unión Europea

1. Los menores tienen derecho a la protección y a los cuidados necesarios para su bienestar. Podrán expresar su opinión libremente. Ésta será tenida en cuenta en relación con los asuntos que les afecten, en función de su edad y de su madurez.

2. En todos los actos relativos a los menores llevados a cabo por autoridades públicas o instituciones privadas, el interés superior del menor constituirá una consideración primordial.

¿Cómo afecta el nuevo Reglamento de Protección de Datos a los derechos del menor?

Una vez aclaradas las bases de la protección de la imagen del menor, analizamos ahora cómo afecta a estos derechos el nuevo Reglamento General de Protección de Datos (RGPD), ya que este texto afecta directamente al tratamiento de datos personales del niño por parte de los centros educativos.

En él se considera a los menores legalmente como "sujetos vulnerables" (así lo recoge su Considerando 75), lo que se traduce en que la protección de sus datos personales (entre ellos se encuentran sus fotografías) goce de especial protección.

Así, hasta la entrada en vigor del Reglamento en España se consideraba que un niño tenía la madurez necesaria para dar su consentimiento acerca del uso de sus datos personales a partir de los 14 años. Así, un niño de entre 14 y 18 años (y, por supuesto, en adelante) podía prestar su consentimiento par el tratamiento de sus datos personales sin el permiso de sus padres o de su tutor.

Ahora, el RGPD eleva este límite de edad hasta los 16 años, pero deja la puerta abierta a los Estados miembros para que la legislación nacional reduzca esta edad mínima, fijando el límite en los 13 años. En la práctica, España ha optado por reducir la edad hasta los 13 años en la nueva Ley Orgánica de Protección de Datos.

Fuera de estos casos, cuando el niño tenga menos de 13 años será necesario siempre el consentimiento de los padres o tutores de éste de cara a permitir el uso de fotografías o vídeos, y éste deberá producirse, en general, antes de la recogida de las imágenes.

En cuanto al tratamiento de los datos personales que debe llevar a cabo el centro educativo, éste deberá adoptar medidas de seguridad para evitar problemas.

¿En qué casos es necesario consentimiento y cómo debe actuar el centro educativo?

La Guía para Centros Educativos, publicada recientemente por la Agencia Española de Protección de Datos (AEPD) nos indica en qué casos es necesario consentimiento expreso:

- Si la grabación de las imágenes se produjera por el centro escolar con fines educativos, como trabajos escolares o evaluaciones, el centro o la Administración educativa, estarían legitimados para dicho tratamiento sin necesidad del consentimiento de los alumnos o de sus padres o tutores.

- Cuando la grabación de las imágenes no se corresponda con dicha función educativa, sino que se trate de imágenes de acontecimientos o eventos que se graban habitualmente con fines de difusión en la revista escolar o en la web del centro, se necesitará contar con el consentimiento de los interesados, a quienes se habrá tenido que informar con anterioridad de la finalidad de la grabación, en especial de si las imágenes van a estar accesibles de manera indiscriminada o limitada a la comunidad escolar.

- En el caso concreto de las fotografías, aquéllas que se realicen sin una función educativa sólo podrán tomarse tras haber informado y recabado el consentimiento de los mayores de 13 años, o bien de los padres o tutores, comunicando la finalidad de éstas, si van a publicarse y dónde. Cuando se trate de imágenes tomadas dentro de la función educativa, deberá informarse al mayor de 13 años o a los padres o tutores en el momento en que se autorice la participación del niño en éste.

- Los profesores deben tener cuidado con los contenidos del trabajo de clase que suben a Internet. Deben enseñar a valorar la privacidad de uno mismo y la de los demás, así como enseñar a los alumnos que no pueden sacar fotos ni videos de otros alumnos ni de personal del centro escolar sin su consentimiento y hacerlos circular por las redes sociales, para evitar cualquier forma de violencia (ciberacoso, grooming, sexting o de violencia de género).

- Cuando los centros educativos organicen y celebren eventos (fiestas de Navidad, fin de curso, eventos deportivos) a los que asistan los familiares de los alumnos, constituye una buena práctica informarles, por ejemplo, al solicitarles la autorización para participar o mediante avisos o carteles, de la posibilidad de grabar imágenes exclusivamente para su uso personal y doméstico.
Si tienes dudas acerca de ésta u otras materias legales, contacta con nosotros sin compromiso.
¿Cómo afecta el nuevo RGPD a la publicación de fotos de menores por parte de colegio?

# data[].attributes.attachment_link.title
¿Cómo afecta el nuevo RGPD a la publicación de fotos de menores por parte de colegio?

# data[].attributes.attachment_link.description
La vuelta al cole y el papeleo de la matrícula en el centro escolar trae de la mano, cada vez con mayor frecuencia, la inclusión de cláusulas que permiten al colegio la captación y publicación de fotos o vídeos en los que aparecen sus alumnos.

# data[].attributes.attachment_link.readable_text
Hasta ahora ha sido muy común que las Universidades difundieran las notas de sus alumnos y alumnas mediante un tablón de anuncios pero dado que se trata de un tratamiento que contiene datos personales relativos a personas físicas, queda sometida a lo dispuesto en el Reglamento Europeo de Protección de Datos.

Es decir, la difusión de notas de calificación de esta manera constituye una cesión de datos de carácter personal del alumnado no autorizada, con lo que sería necesario que cada alumno y alumna diera su consentimiento inequívoco para poder proceder a la publicación de sus calificaciones.

Según la AEPD indica en su informe, la publicación de las notas es lícita aunque "deberá respetarse en todo caso los principios recogidos en el artículo 5 del RGPD, especialmente los de limitación de la finalidad, minimización de datos, limitación del plazo de conservación, integridad y confidencialidad, realizando la publicación de modo que suponga la menor injerencia en los derechos y libertades de los interesados, lo que excluye la posibilidad de un conocimiento generalizado de las calificaciones, como podría ocurrir en el caso de que se procediera a su publicación en internet, en el que el riesgo se incrementaría además como consecuencia de la posible indexación por los motores de búsqueda."

Por lo tanto, establece las siguientes pautas a seguir para hacer estas publicaciones:

Dónde publicar los datos: en la medida de lo posible, que se realicen a través de una intranet o aula virtual que tenga acceso limitado al profesorado y alumnado del grupo. Si esto no fuera posible podría publicarse en los tablones de anuncios del centro siempre y cuando éstos no estén en las zonas comunes y que el acceso a la información quede restringido únicamente a las personas interesadas.

Qué datos publicar: el nombre y apellidos junto con la calificación obtenida. Solo cuando haya dos alumnos o alumnas con los mismos nombres y apellidos deberá publicarse su número de DNI.

Durante cuánto tiempo pueden estar disponibles las notas: cuando sean clasificaciones provisionales, mientras puedan presentarse reclamaciones. En el caso de calificaciones definitivas, el tiempo que se considere imprescindible para que todos los interesados e interesadas puedan consultarlas.

La Universidad será la responsable del tratamiento de los datos y deberá realizar la publicación de las notas siguiendo los criterios publicados por el informe de la AEPD.

En esta infografía recogemos la información que deberás tener en cuenta a la hora de publicar las notas de tus alumnos y alumnas:

# data[].attributes.attachment_link.title
¿Cómo debo publicar las notas de mis alumnos según el RGPD?

# data[].attributes.attachment_link.description
Hasta ahora ha sido muy común que las Universidades difundieran las notas de sus alumnos y alumnas mediante un tablón de anuncios pero dado que se trata de un tratamiento que contiene datos personales relativos a personas físicas, queda sometida a lo dispuesto en el Reglamento Europeo de Protección de Datos.

# data[].attributes.attachment_link.authors[].name
Grupo Atico34 | Protección de datos Madrid

# data[].attributes.attachment_link.title
Protección de datos para centros educativos - Ayuda RGPD & LOPD

# data[].attributes.attachment_link.title
Protección de datos en centros educativos . Guía 2021 | AyudaLey Datos

# data[].attributes.attachment_link.description
¿Cómo cumplir con la protección de datos en centros educativos? En esta guía te damos toda la información que necesitas para adaptarte al RGPD y la LOPDGDD.

# data[].attributes.attachment_link.readable_text
Hasta ahora se venía hablando mucho de la inminente implantación del nuevo RGPD, que desde el 25 de mayo ya es una realidad.

Hemos desarrollado este contenido para hacer acopio de los consejos prácticos y fundamentales a la hora de actualizar la política sobre protección de datos de tu centro educativo, de una manera cercana y sencilla. Con ello no pretendemos cubrir toda la casuística del nuevo reglamento, pero sí los puntos más recurrentes en las consultas que nos plantean en nuestra la Línea de Ayuda, tanto educadores como familias. Os proponemos una infografía con los elementos imprescindibles que debéis controlar sobre el RGPD y ¡en formato imprimible para que todo el equipo educativo pueda estar informado!

Uno de los puntos más sensibles a la hora de tratar con datos personales es el de disponer previamente del consentimiento necesario, que tendrá que solicitar al alumno o, si este es menor de 14 años, a los padres o tutores legales para dicho tratamiento. Los centros educativos están legitimados para ello dentro de su función educativa pero en otras muchas ocasiones realizan actividades que, aún correspondiendo al curso académico, no se relacionan directamente con la labor educativa. En otros momentos también pueden participar empresas externas a las que se contratan servicios o que solicitan algún tipo de colaboración. Para reflejar estas autorizaciones ponemos a vuestra disposición tres propuestas de modelos de consentimiento que también podréis encontrar de manera agrupada en nuestra guía/recurso " Modelos de consentimiento sobre datos personales":

Consejos prácticos para cumplir con el nuevo RGPD

Para contemplar de manera adecuada el proceso de adaptación del nuevo RGPD a nuestro centro educativo debemos tener en cuenta el decálogo de buenas prácticas sobre protección de datos. De esta manera también contribuiremos a la mejora de funcionamiento del día a día del propio centro.

Este decálogo recoge aspectos importantes sobre la privacidad, la formación del personal, la transparencia en el tratamiento, el consentimiento sobre el uso y, también, algunos consejos particulares sobre el uso de las aplicaciones informáticas, la mensajería y las imágenes.

Décalogo para el uso de datos personales en centros educativos

Privacidad: El personal relacionado con el centro educativo debe tratar los datos personales con diligencia y respeto a la privacidad e intimidad, anteponiendo el interés y la protección de los menores.

Formación: Los centros educativos deben formar sobre los principios básicos del tratamiento correcto de los datos personales.

Transparencia: Aunque los centros educativos tienen justificado el tratamiento de los datos personales a través del ejercicio de su función educativa, deben informar del mismo con lenguaje claro y sencillo a los afectados añadiendo los datos de contacto del delegado de protección de datos y del plazo de conservación de los mismos o del criterio para determinarlo.

Consentimiento: Cuando el tratamiento de datos personales tenga una finalidad diferente a la educativa el centro educativo debe obtener consentimiento de los alumnos o, en caso de ser menores de 14 años, de sus padres o tutores sobre cada finalidad detallada de manera clara, danto oportunidad de oposición.

Dentro de las TIC:

Políticas y condiciones de las aplicaciones: Los centros educativos deben conocer las políticas de privacidad y las condiciones de las aplicaciones a utilizar, rechazando las que no sean explícitas en el tratamiento de los datos personales.

Protocolos y guías: Los centros educativos deben disponer de protocolos, guías y recomendaciones para el uso de las TIC por parte del profesorado, adaptando su enseñanza al grado de desarrollo de los niños.

Mensajería instantánea: Es necesario sopesar el uso de mensajería instantánea entre profesores y padres o entre profesores y alumnos, recomendándose su uso únicamente para a casos en los que los que el interés superior del niño pudiera verse comprometido (en estos casos se podrían captar imágenes del niño y ser enviadas a los titulares de su patria potestad).

Publicación: El profesorado debe ser cauteloso con los materiales que suben a Internet enseñando, al tiempo, a sus alumnos que no pueden sacar fotografías o videos de otras personas y hacerlas públicas sin su consentimiento.

Imágenes familiares: Es recomendable que en los eventos con asistencia familiar informen a los familiares de los alumnos de que la obtención de imágenes debe ser exclusivamente para su uso personal y doméstico.

A pesar de que los conceptos empleados dentro del ámbito del RGPD no son complicados, sí es cierto que pueden causar cierta confusión entre el personal no iniciado en este tipo de reglamentación.

Conviene tener una idea clara y concreta de la implicación de cada uno de ellos ya que estos conceptos determinan, entre otras cosas, los roles y responsabilidades dentro de los contratos y las acciones fundamentales sobre los datos personales. Ello deriva en una serie de compromisos legales entre todas las partes afectadas.

Conceptos básicos sobre protección de datos

Dato personal: Cualquier información en forma de dato, fotografía, vídeo, gráfico, sonido o de cualquier otro tipo relativo a personas físicas que permita su identificación dentro de un colectivo sin esfuerzos desproporcionados.

Datos especialmente protegidos: Datos que revelan circunstancias o información de las personas sobre su intimidad y condición personal (ideología, afiliación, religión, origen racial, salud, sexualidad, penales y administrativos). Se denominan "categorías especiales de datos".

Pertenencia del dato personal: Corresponde a la persona física titular del dato, resultando ser el afectado o interesado.

Fichero: Conjunto estructurado de datos personales, accesibles con criterios determinados, y que puede estar centralizado, descentralizado, repartido de forma funcional o geográfica o tratado de forma manual o automática. No es necesaria su notificación a la AEPD ni a las autonomías, siendo únicamente relevante su tratamiento.

Tratamiento de datos: Cualquier actividad en la que estén presentes datos personales, ya sea manual o automatizada, total o parcialmente.

Responsable del tratamiento de datos: Persona física o jurídica, pública o privada, que decide sobre el uso de los mismos por decisión directa o por imposición normativa. En el ámbito educativo normalmente será la Administración Pública correspondiente o el propio centro si es concertado o privado.

Encargado del tratamiento de datos: Persona física o jurídica, autoridad pública, servicio u otro organismo que trate los datos personales por cuenta del responsable del tratamiento incluyendo a las personas o entidades que presten servicios al centro educativo caso en el que debe mediar un contrato con garantías sobre la protección de datos.

Cesión de datos: Revelación de los mismos a una persona (física o jurídica, autoridad pública, servicio u organismo) distinta de su titular. No se considera cesión de datos a las comunicaciones de datos a las empresas que tengan condición de encargados del tratamiento.

Transferencia internacional de datos: Envío de datos fuera del ámbito del Espacio Económico Europeo (EEE), ya se realice para que el destinatario preste un servicio al centro educativo o bien para que los trate para una finalidad propia.

Si ya tenemos claras las buenas prácticas sobre el tratamiento de datos personales contenidas en el decálogo y también nos hemos aclarado con los conceptos básicos del RGPD, es momento de afrontar los principios sobre la protección de datos.

Estos principios son los pilares básicos de toda la legislación entorno a su tratamiento pues describen qué pueden hacer los centros educativos por el simple hecho de ser tales instituciones a diferencia de otras personas, por qué motivo se puede solicitar un dato o no, qué seguridad debe ser tenida en cuenta durante su tutela y hasta cuándo se pueden conservar, entre otros detalles.

Sabemos que los datos personales son fundamentales para el normal funcionamiento de nuestro centro escolar, pero hemos de tener cuenta que en muchas ocasiones estarán supeditados a la voluntad de sus legítimos propietarios. En este sentido, las personas, dueñas de sus datos personales, pueden ejercitar una serie de derechos que nos obligan a que les facilitemos acceso a los mismos y la posibilidad de corregirlos, así como de cancelarlos e, incluso, a que atendamos su derecho a oponerse a nuestra tenencia y tratamiento sobre sus datos.

Principios sobre la protección de datos personales

Legitimidad: Los datos pueden ser tratados si existe consentimiento previo por parte de los titulares. Los centros educativos están legitimados para el tratamiento de los datos de los alumnos en su ejercicio de la función educativa, así como para la relación jurídica que se produce con la matriculación de los alumnos, por consentimiento de los mismos o de sus padres en caso de ser menores de 14 años y por intereses legítimos que, por ponderación sobre los derechos y libertades de los afectados, se consideren que prevalecen sobre éstos.

Calidad: No se pueden tratar más datos que aquellos necesarios estrictamente para la finalidad de cada caso, no pudiendo ser recabados fraudulentamente y su utilización debe ser conocida por los titulares. Además han de ser exactos y actualizados.

Transparencia: Los centros educativos, aun estando legitimados, deben facilitar de forma clara y concisa, información sobre la existencia de ficheros y tratamientos, la finalidad de los mismos, la obligatoriedad o no de facilitar datos y consecuencias en caso de negativa, los destinatarios de los datos, los derechos de los interesados y dónde ejercitarlos así como la identidad del responsable del tratamiento (el centro o la Administración correspondiente), los datos de contacto del delegado de protección de datos y el plazo de conservación o el criterio para determinarlo.

Seguridad: Los centros educativos deben adoptar medidas de seguridad, técnicas y organizativas, para garantizar la integridad, confidencialidad y protección de los datos personales frente a su tratamiento ilícito, pérdida, destrucción o daño accidental. No existe un catálogo de medidas, pero sí se establece que responsables y encargados del tratamiento deben definirlas en base a un análisis de riesgos, costes, alcances y derechos y libertades.

Secreto: Todas las personas que tengan acceso a datos de carácter personal están obligadas aguardar secreto sobre los mismos, incluso cuando la relación con el responsable o el encargado del tratamiento haya finalizado.

Cancelación: Los datos serán conservados estrictamente por el tiempo definido para la finalidad por el que fueron recabados. A partir de ese momento han de ser cancelados, lo que no implica su borrado material sino su identificación con la finalidad de impedir su ulterior proceso o utilización, excepto para ponerlos a disposición de Administraciones, Jueces y Tribunales. Transcurrido el plazo legal de conservación deben ser destruidos para evitar que sean accesibles por terceros no autorizados.

Derechos sobre la protección de datos personales

Acceso:

Conocimiento y obtención gratuita de información sobre si los datos personales son objeto de tratamiento, su finalidad, qué datos son, su origen y los destinatarios de los mismos.

Existe un plazo de un mes para que el responsable del tratamiento facilite la información o en caso contrario, la respuesta de que no se dispone de ellos.

No es obligada la copia del expediente escolar, aunque si contiene datos de salud, sí debe entregarse copia de los mismos.

Rectificación:

Corrección de errores, modificación de datos inexactos o incompletos y certeza de la información objeto del tratamiento.

En caso de menores de 14 años, son sus padres o tutores quienes han de ejercitar este derecho.

La rectificación no es aplicable a calificaciones ni a expedientes escolares.

Cancelación:

Supresión de datos que resulten inadecuados o excesivos.

Los expedientes académicos han de ser conservados para posible información a los alumnos una vez finalizados sus estudios.

Los datos sobre salud serán cancelados cuando no sean necesarios para el desarrollo de la función educativa.

Oposición:

Cese o no tratamiento de los datos de carácter personal.

Los alumnos y familiares pueden oponerse a la publicación de los mismos cuando exista un motivo legítimo y fundado.

Ahora bien, atendiendo a todo lo anterior, ¿cómo hemos de proceder para el tratamiento de los datos personales? Todas las acciones que se tomen en este sentido, que abarcan desde su recogida hasta su borrado, han de atender a aspectos como la calidad de los datos (en cuanto a que se recojan datos que realmente tengan una finalidad justificada), la forma de publicación, el tratamiento de las imágenes y la intervención de terceras figuras dentro de todos estos procesos.

Tratamiento de datos en los centros educativos

Recogida de datos:

Los centros educativos, informando siempre a sus titulares, pueden recabar datos personales, tanto de alumnos como de sus padres o tutores, para la función educativa y orientadora, incluso categorías especiales de datos y cualquier circunstancia cuyo conocimiento sea necesario para la educación y orientación.

Para datos referentes a origen racial, salud y vida sexual se requiere consentimiento expreso y para datos referentes a ideología, afiliación, religión o creencias, el consentimiento ha de ser escrito.

Ante situaciones de interés público, el centro educativo puede, conforme a su protocolo, acceder a contenidos de mensajería instantánea y redes sociales de los alumnos sin previo consentimiento.

Respecto a las imágenes, aunque el centro educativo no puede recogerlas como parte de la labor educativa, sí lo puede hacer en el caso de que el interés superior del alumno estuviera comprometido.

Tratamiento de datos:

El centro educativo puede publicar listas de alumnos admitidos siempre y cuando no suponga un acceso indiscriminado a la información y teniendo en cuenta el derecho a oposición por motivos legítimos y fundamentados.

Internamente puede publicar listas organizativas de las aulas.

También pueden publicar la información relativa a subvenciones y ayudas públicas concedidas por las Administraciones.

Las calificaciones han de ser dirigidas de manera privada a los alumnos y a sus padres o tutores aunque cabe la posibilidad de su lectura oral en el aula.

Los profesores pueden acceder a los expedientes y datos de salud de los alumnos a los que imparten docencia, pero no a los del resto.

Los padres y tutores tienen derecho de acceso a la información sobre el absentismo escolar de sus hijos así como a la información sobre su salud.

En el caso de padres separados, ambos tienen derecho a recibir la misma información. En caso de conflicto deberá plantearse ante un juez competente en materia de familia.

El centro educativo puede comunicar los datos personales de un alumno a otro centro para su matriculación en caso de traslado, sin consentimiento de padres o tutores.

El centro educativo puede comunicar los datos personales de un alumno a las Administraciones, a los Servicios Sociales, a las Fuerzas y Cuerpos de Seguridad y a los centros sanitarios (siempre y cuando su personal esté sujeto al secreto profesional) para el ejercicio de sus competencias.

En caso de actividades extraescolares en las que se estén implicadas instituciones, entidades o empresas, los centros escolares podrán cederles datos de sus alumnos con el previo consentimiento expreso de sus padres o tutores.

El centros educativo necesita previo consentimiento expreso de padres y tutores para comunicar datos personales a las AMPAs.

Tratamiento de imágenes:

Los centros escolares están legitimados para la toma de imágenes necesarias para el desarrollo de su función educativa, para otros fines necesitan consentimiento de padres o tutores (informándoles de la forma de publicación que tendrán).

Los casos de conflicto entre cónyuges sobre el consentimiento deben solucionarse ante un juez competente en materia de familia.

Las familias de los alumnos pueden realizar fotografías y vídeos en eventos abiertos para ellas siempre y cuando uso sea personal y doméstico, no pudiendo difundirlas sin previo consentimiento de los afectados.

La oposición de padres a la grabación de imágenes y vídeos por parte de las familias para su uso personal y doméstico en eventos abiertos para ellas no tiene cabida pues se encuentra excluida de la normativa de protección de datos.

Si una empresa realiza toma de imágenes o vídeos por encargo del centro educativo, éste debe tener consentimiento de padres o tutores.

Si una empresa realiza toma de imágenes o vídeos para sus propios fines, ésta deberá tener consentimiento de padres o tutores de manera directa o a través del centro educativo.

Tratamiento de datos en Internet:

Los centros educativos que suscriban contratos con empresas de prestación de servicios de plataformas educativas en Internet son los responsables del servicio, mientras que las empresas son las encargadas del tratamiento, y deben poder conocer el procedimiento de recuperación de datos así como transmitir a los usuarios las políticas en materia de seguridad.

En los contratos con empresas de servicios de plataformas educativas, se deben especificar la naturaleza de los datos de cara a definir y establecer medidas y procedimientos de seguridad, así como las responsabilidades de todos los intervinientes.

Las empresas prestatarias de servicios de plataformas educativas sólo pueden realizar comunicaciones comerciales a los usuarios de los centros, previo consentimiento por su parte.

La cesión de datos personales a las editoriales para servicios de adquisición de libros digitales precisa de consentimiento previo de los afectados, no pudiendo ser utilizados dichos datos para otras finalidades.

Los centros educativos sólo pueden utilizar herramientas de almacenamiento en la nube que cumplan las garantías previstas en la normativa de protección de datos.

Las aplicaciones utilizadas por los profesores para su labor educativa deben garantizar la política de privacidad definida por el centro educativo, no implicando la transmisión de datos de los alumnos al prestatario del servicio contratado para que los utilice para sus propios fines o los almacene de manera permanente.

Si se contratan servicios de plataforma educativa con una empresa ubicada en el Espacio Económico Europeo sólo es necesaria la formalización de un contrato con el encargado del tratamiento. Para los casos de empresas ubicadas en territorios no declarados con un nivel adecuado de protección por parte de la Comisión Europea se debe solicitar autorización a la AEPD.

Al finalizar la contratación de un servicio de plataforma educativa, el centro educativo debe disponer de la portabilidad de la información a sus propios sistemas así como tener la garantía del borrado seguro de los datos personales donde se encuentren almacenados.

La publicación de datos de docentes en la web del centro de manera restringida a los alumnos y padres o tutores no precisa de consentimiento, aunque se aconseja informar a los afectados, mientras que la publicación en abierto sí precisa de consentimiento.

Los centros educativos están legitimados para la publicación de datos personales de los alumnos cuando su finalidad sea educativa (publicándolas de manera restrictiva para los alumnos y padres o tutores), para otros fines necesitan consentimiento de padres o tutores (informándoles de la forma de publicación que tendrán).

¡No olvides que estamos al otro lado del teléfono!

En ocasiones, la única traba no es carecer de conocimientos sobre el tema ni acerca de las medidas para prevenirlo o solucionarlo, sino simplemente no saber cómo afrontar ciertas situaciones. Por eso, siempre que nos encontremos con cualquier cuestión relacionada con la experiencia online de nuestros hijos o bien estemos sufriendo cualquiera de los riesgos mencionados, podemos acudir a la Línea de Ayuda en Ciberseguridad de INCIBE, 017 (teléfono gratuito y confidencial), para obtener un asesoramiento cercano y experto. Ya no existen excusas para no navegar de forma segura y responsable: Si dudas online, IS4K te ayuda.

¡Síguenos en nuestras redes sociales y comparte nuestros contenidos ( Facebook y Twitter)!

Para ampliar más información sobre el nuevo RGPD, consulta: www.aepd.es

# data[].attributes.attachment_link.title
¿Sabías que...? Adapta fácilmente tu centro educativo al nuevo RGPD

# data[].attributes.attachment_link.description
Ya está aquí el nuevo RGPD con cambios que orientan más su implantación con un enfoque hacia el tratamiento, el consentimiento y la finalidad que a la declaración en si misma de la tenencia de ficheros y estructura de los mismos.

# data[].attributes.attachment_link.readable_text
¿Deben cumplir la Ley de Protección de Datos los centros educativos? ¿Cómo deben adaptarse a la normativa? ¿Qué tipo de datos personales manejan los centros educativos? ¿Quién es el responsable del tratamiento? ¿Deben designar un Delegado de Protección de Datos?

En esta guía de protección de datos para centros educativos daremos respuesta a estas y otras preguntas relacionadas con la materia.

En este artículo hablamos de:

¿Están obligados a cumplir la Ley de Protección de Datos los centros educativos?

Cumplir con la Ley de Protección de Datos en centros educativos es una obligación ineludible, dado el volumen de datos que estos tratan, desde los del alumnado hasta el de sus empleados, además de tratar datos de menores de edad, estos centros también pueden llegar a tratar datos de categorías especiales (como los de la salud).

Además, adaptar la normativa de protección de datos en centros educativos entraña, en muchos casos, cumplir con unas obligaciones más estrictas, puesto que cuando hablamos de colegios, institutos y academias, hablamos de tratar datos de menores de edad, de sus padres o tutores y, como decíamos, de los propios empleados del centro.

Así mismo, la normativa de protección de datos también debe tener en cuenta respecto a la publicación de notas, el acceso a las calificaciones por parte de los padres de alumnos mayores edad, el uso de imágenes de alumnos en la página web o redes sociales del centro, cuándo un profesor puede grabar a sus alumnos durante una actividad, etc.

Solicita INFO sobre cómo cumplir la ley de protección de datos en centros educativos.

Normativa de protección de datos para centros educativos

La normativa de protección de datos para centros educativos la tenemos en:

El RGPD (Reglamento General de Protección de Datos, que es el marco regulatorio europeo, vigente desde 2016 y que introdujo varias novedades respecto a la protección de datos, entre ellas, el consentimiento expreso, el registro de actividades de tratamiento o la figura del Delegado de Protección de Datos (DPO).

La LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales), es la ley española de protección de datos, con la que se adaptó al ordenamiento jurídico español el RGPD. Vigente desde 2018, cumplirla implica cumplir el RGPD, puesto que contempla básicamente las mismas obligaciones, infracciones y sanciones.

Ley de Educación.

Guía para la protección de datos en centros educativos

Para adaptar la Ley de Protección de Datos en centros educativos, estos deben cumplir con una serie de obligaciones y requisitos establecidos en la normativa, siempre teniendo en cuenta el tipo de datos personales que se tratan en los centros y la finalidad de los tratamientos, que siempre deberá estar relacionada con la función docente y orientadora.

¿Quién es el responsable de la protección de datos en centros educativos?

Quién asume el papel del responsable de la protección de datos en los centros educativos, es decir, quién es el responsable del tratamiento, depende de si el centro es público o privado.

Así, cuando el centro educativo es público, el responsable del tratamiento será la Administración pública correspondiente (la Consejería de la Comunidad Autónoma competente en materia educativa, con excepción de Ceuta y Melilla y los centros fuera de España bajo titularidad del Estado, que dependerán del Ministerio de Educación).

En el caso de los centros concertados o privados, el responsable del tratamiento será el propio centro.

¿Qué tipos de datos tratan los centros educativos?

Como ya dijimos al comienzo de esta guía de protección de datos en centros educativos, estos tratan un gran volumen de datos personales, pero ¿cuáles exactamente?

Por un lado, los centros educativos van a tratar datos identificativos de alumnos, padres o tutores de alumnos y empleados: nombre, apellidos, domicilio, teléfono, DNI, email, etc.

Por tro lado, la Ley de Educación también legitima a los centros educativos a recabar datos de carácter personal para la ayuda a la función docente y orientadora de los alumnos. De manera que también tratarán los siguientes datos:

Origen y ambiente familiar y social: Con esto nos referimos a toda la información sobre la situación familiar de los alumnos. Un centro escolar puede recoger información relativa tanto a los alumnos como a los padres. El caso de los padres es relevante, ya que si, por ejemplo, están divorciados, el centro debe saber quién ostenta la patria potestad para la recogida de los menores.

Características o condiciones personales del menor: Aquí encontramos los llamados datos sensibles, en cuanto sean necesarios para la función educativa. En este caso hay diferentes momentos en que se pueden recabar datos sensibles del menor, entre los que destacamos:

En la matriculación del alumno:

Discapacidades

Enfermedades crónicas

TDAH

Intolerancias alimentarias

Alergias

Durante el curso escolar:

Tratamiento médico que reciba un alumno a través del servicio médico o de enfermería del centro

Informes de centros sanitarios a los que se le haya trasladado como consecuencia de accidentes o indisposiciones sufridas en el centro

Informes de los equipos de orientación psicopedagógica

Desarrollo y resultados de su escolarización: Se trata de datos e información relacionada con el rendimiento escolar, como, por ejemplo, las notas de cada uno de los alumnos, así como las asignaturas que ellos mismos hayan podido escoger.

Circunstancias cuyo conocimiento sea necesario para educar y orientar a los alumnos: Este punto nos enlaza con los dos primeros, ya que será necesario el conocimiento de la situación familiar y personal del alumno para su buen desarrollo educativo. Por ejemplo, conocer la situación socioeconómica de una familia puede ayudar a determinar si un alumno necesita más o menos apoyo en determinadas áreas o acceso a material escolar.

Datos ajustados a la finalidad: Como ocurre en otros ámbitos, uno de los requisitos de la ley de protección de datos en centros educativos es no recabar datos personales que sean excesivos para la finalidad para la que son recogidos. Por ejemplo, en el caso de las solicitudes de plaza en un centro de enseñanza, no es necesario recabar los datos bancarios para el pago de actividades extraescolares hasta que no se hubiera resuelto el proceso y fuese admitido el alumno.

Recogida de datos personales: Legitimación y consentimiento expreso

De acuerdo a la normativa de protección de datos, los centros educativos están legitimados para el tratamiento de datos personales para dar cumplimiento, como hemos dicho, a la función docente y orientadora. En estos casos, el consentimiento expreso para el tratamiento de datos no será necesario, pero sí deberá informar a los interesados (alumnos, padres o tutores y empleados) de la realización de dicho tratamiento.

Cuando sea necesario llevar un tratamiento de datos que no esté legitimado por esa finalidad, será necesario recabar el consentimiento expreso de los interesados. También deberá recabarse este consentimiento expreso cuando se traten categorías de datos especiales o sensibles (origen racial, relativos a la salud y a la vida sexual, ideología, religión o creencias o afiliación sindical), además, deberá recogerse por escrito.

Los alumnos mayores de 14 años podrán prestar su consentimiento ellos mismos, mientras que para los menores de 14 años deberá recabarse el consentimiento de padres o tutores legales.

Como el consentimiento debe quedar registrado, lo habitual es recurrir a incluir la correspondiente cláusula en el mismo impreso o formulario en el que se van a recabar los datos (por ejemplo, en el formulario de matriculación), usando casillas para marcar el otorgamiento del consentimiento o mediante la firma.

El consentimiento ha de ser inequívoco y específico, correspondiendo al centro o a la Administración educativa acreditar su existencia.

En cuanto a los profesores, más allá de cuando los profesores recogen datos personales de los alumnos en el ejercicio de sus funciones administrativas, también estarán legitimados para recoger datos personales de los alumnos directamente en el desempeño de sus labores docentes, por ejemplo, para evaluar ejercicios, dentro de las instrucciones o protocolos internos al respecto del centro.

La protección de datos en centros educativos requiere cumplir con el deber de informar a los interesados (alumnos, padres o tutores legales y empleados del centro) de todo lo relativo al tratamiento de sus datos, en concreto se informará sobre:

El tratamiento de datos

La identidad del responsable del tratamiento, del Delegado de Protección de Datos (DPO) y del encargado o encargados del tratamiento

La finalidad del tratamiento

El plazo de conservación de los datos

Si los datos serán cedidos a terceros (identificando a los mismos)

Si se producirán transferencias internacionales de datos y las garantías de las mismas

La vía para ejercer los derechos ARSULIPO (acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición)

Registro de actividades de tratamiento

Dado el volumen y las categorías de datos que manejan los centros educativos, el responsable del tratamiento está obligado a llevar un registro de actividades de tratamiento, de manera que por cada tratamiento de datos personales que se haga en el centro (listado de alumnos, nóminas de profesores, cámaras de seguridad, información referente a la salud, etc.), se deberá realizar el correspondiente registro de actividades de tratamiento, que recogerá la siguiente información:

Datos identificativos del responsable del tratamiento, del encargado o encargados del tratamiento y del DPO

La finalidad del tratamiento

La base legitimadora del tratamiento

Las categorías de datos e interesados afectados

Las categorías de destinatarios de los datos existentes o previstos

Las transferencias internacionales de datos (si procede)

El plazo de conservación de los datos

Descripción general de las medidas técnicas y organizativas de seguridad

Análisis de riesgos y evaluación de impacto

Una de las principales obligaciones en materia de protección de datos para centros educativos es llevar a cabo análisis de riesgos y, cuando sea necesario, la evaluación de impacto en protección de datos (EIPD).

Con carácter previo a cualquier tratamiento de datos, el centro realizará un análisis de riesgos, para determinar la posibilidad de que dicho riesgo se materialice y cómo afectaría a los interesados. Este análisis, además, se empleará para diseñar e implementar las medidas de seguridad necesarias para minimizar las probabilidades de materialización del riesgo y para reducir su impacto, si al final ocurre.

Hablamos aquí de riesgos que pongan en peligro la integridad, disponibilidad, fiabilidad y confidencialidad de los datos, tanto físicos como digitales, accidentales o intencionados.

La EIPD se deberá realizar cuando el tratamiento de datos personales afecte a datos sensibles y cuando del análisis de riesgos se determine que un nivel de riesgo alto para los derechos y libertades de los interesados, en caso de materializarse un riesgo o amenaza. La EIPD es un análisis de riesgos más en profundidad y centrado en ese impacto sobre la vida de los interesados.

Las conclusiones del análisis de riesgos y de la EIPD servirán a los centros educativos para diseñar e implementar las medidas técnicas y organizativas necesarias para garantizar la seguridad, integridad, disponibilidad y confidencialidad de los datos personales que manejan. Estas medidas deben impedir el acceso de terceros no autorizados a los datos personales del centro, evitar su pérdida o destrucción o su filtración.

Cesión de datos a terceros

Cuando los centros educativos, para cumplir con algunas de sus funciones, deben contratar los servicios de terceros externos a los mismos (por ejemplo, servicio de comedor, servicio médico, de transporte, etc.) y estos tienen acceso a los datos personales de alumnos, padres o tutores y empleados del centro, se deberá firmar con ellos un contrato de encargo del tratamiento.

Este contrato debe recoger:

La obligación de tratar solo los datos personales cedidos por el responsable del tratamiento.

Que los datos no se utilizarán con finalidades diferentes a las previstas en el contrato, ni se comunicarán a otros.

Las medidas de seguridad implementadas o que debe implementar el encargado del tratamiento.

Qué se hará con los datos una vez cumplida la finalidad del tratamiento o el plazo de conservación.

Cabe señalar que no se considerarán encargados del tratamiento a las personas físicas que tengan acceso a los datos personales de alumnos, padres o tutores y empleados en su condición de empleados del centro o de la Administración educativa responsables del tratamiento (por ejemplo, los profesores que pueden acceder a los datos de sus alumnos no son encargados del tratamiento).

Deber de confidencialidad

Todo el personal del centro educativo que haya tenido acceso a datos personales tiene el deber de guardar secreto sobre los mismos, no publicarlos, difundirlos o filtrarlos, bien por intereses personales o en beneficio de terceros o bien de manera accidental. Este deber se prolongará una vez finalizada la relación contractual con el centro.

Para asegurar el cumplimiento del deber de confidencialidad, se puede recurrir a la inclusión de una cláusula de confidencialidad en el contrato de los empleados, en la que, además, se explicarán las consecuencias de no cumplir con este deber.

Puesto que hay determinados casos en que los datos personales de alumnos y exalumnos, así como de empleados y exempleados del centro educativo deben conservarse, incluso cuando se haya cumplido la finalidad para la que fueron recabados, se deberá proceder al bloqueo de dichos datos, de manera que no serán eliminados, pero no podrán usarse o accederse a ellos, salvo que así lo requiera una administración pública o las autoridades judiciales en el ejercicio de sus funciones.

Designación de Delegado de Protección de Datos

Con independencia de si son centros educativos públicos o privados, estos están obligados a designar o contratar un DPO, que se ocupará, entre otras funciones, de supervisar el cumplimiento de la normativa, asesorar al responsable del tratamiento y actuar como enlace entre la AEPD y el propio centro.

Esta obligatoriedad del delegado de protección de datos puede cumplirse designando un empleado del centro como tal o contratando los servicios de un DPO externo, por ejemplo, a través de una consultoría externa especializada en protección de datos.

Notificación de brechas de seguridad

En el caso de que se produzca un incidente de seguridad que dejé al descubierto o provoque la filtración de los datos personales de alumnos, padres o tutores o personal del centro educativo y pueda suponer un riesgo para sus derechos y libertades, este deberá informar, en un plazo no superior a 72 horas, a la AEPD y a los propios interesados cuyos datos se hayan visto afectados.

Otras consideraciones sobre protección de datos en centros educativos

Esta guía de protección de datos en centros educativos no estaría completa si, aparte de las obligaciones y requisitos que hemos visto que deben cumplir en materia de protección de datos los centros educativos, no mencionáramos las siguientes consideraciones, relacionadas con cómo y dónde pueden los centros educativos o su personal publicar datos personales.

¿Qué tipo de datos pueden publicar los centros educativos?

De acuerdo a la Ley de Protección de Datos, los centros educativos pueden publicar los siguientes datos personales:
- Listas de admitidos:
Se puede publicar la lista de alumnos admitidos siempre y cuando se haga de una manera que no suponga un acceso indiscriminado la información:

Publicación en tablones dentro del centro.

A través de una página web de acceso restringido.

Esta publicación deberá recoger solo el resultado final del baremo, no resultados parciales que puedan responder a datos o información sensible o poner de manifiesto la capacidad económica de la familia.

Esta información, no obstante, estará disponible para los interesados que ejerzan su derecho a reclamar.
- Notas de alumnos:
A diferencia de lo que ocurre en la educación universitaria, la publicación de notas en los centros educativos no está regulada y, por lo tanto, es un tema en el que es habitual que surjan dudas.

Para resolver estas dudas, la guía de protección de datos en centros educativos de la AEPD nos da algunas directrices, que resumimos a continuación:

Como norma general, las notas de los alumnos solo se deben facilitar a los propios alumnos y sus padres, evitando su exposición pública en tablones de anuncios o comunicándolas de forma oral en la clase.

Si las notas se comunican a través de una plataforma digital, estas solo deberían ser accesibles para los propios alumnos, sus padres o tutores.

En el caso de que el alumno fuese mayor de edad, los padres podrán solicitar el acceso a las notas cuando estos corran con los gastos educativos o de alimentos (en el caso de padres separados), ya que se considera que existe un interés legítimo de los padres derivado del mantenimiento de sus hijos mayores de edad.

- Beneficiarios de becas:
En estos casos hay que poner en valor dos situaciones:

Si la beca está fundada en una situación de discapacidad de los beneficiarios.

Si la beca puede afectar a la esfera íntima del afectado.

En estos casos, se podrá publicar solamente mediante el número identificador de la solicitud que solo el afectado conoce.
- Imágenes y videos:
Es habitual que los centros docentes, con motivo de eventos o celebraciones, recojan imágenes de alumnos, profesores y familiares. Pero ¿qué dice la ley de protección de datos en centros educativos respecto a la captación y publicación de imágenes en estas situaciones? Hay diferentes casuísticas que debemos tener en cuenta.

Primero, señalar que cuando el consentimiento para la captación y publicación de imágenes sea necesario, los alumnos mayores de 14 años podrán darlo ellos mismos, mientras que para los menores de 14 años, será necesario que el consentimiento lo den sus padres o tutores legales.

Así, cuando las imágenes o vídeos se capten con fines educativos, como pueden ser trabajos o evaluaciones, no será necesario recabar el consentimiento. Sí lo será cuando esas imágenes vayan a ser publicadas en la web del centro.

Los profesores podrán grabar a sus alumnos siempre y cuando la finalidad esté relacionada con la actividad docente y dichas imágenes solo estén accesibles para los propios alumnos, sus padres o tutores legales, aparte del propio profesor.

Si las imágenes las captan padres o tutores legales u otros familiares en el desarrollo de un evento escolar, al tratarse de un uso doméstico, la normativa de protección de datos no es de aplicación.

¿Dónde y cómo publicar los datos personales?

¿Dónde se pueden publicar datos personales y cómo hacerlo de acuerdo a la normativa de protección de datos para centros educativos?
- Tablón de anuncios:
Se pueden publicar listas de admitidos, notas y cualquier otra información similar en los tablones de anuncios de centro, cuando esta información deba estar disponible de forma pública. Si bien, esta publicación debe realizarse de manera proporcionada, es decir, sin que suponga un acceso indiscriminado a la misma (los tablones deben estar en el interior del centro o una web de acceso restringido) y solo deberá recoger el resultado final del baremo o contener ningún dato relativo a la situación particular de cada familia.

Una vez que ya no sean necesarios, estos listados se deberán retirar de los tablones.
- Página web y redes sociales:
Es habitual que la web de un centro educativo cuente con información referida a las actividades que desarrolla y los servicios que ofrece.

Debido a esto, en algunas ocasiones incluyen información que contiene datos de carácter personal de empleados del centro y los alumnos, por lo que se deben considerar y aplicar las obligaciones de la ley de protección de datos en centros educativos, en especial en lo que se refiere al consentimiento de los interesados.

Así mismo, si se van a subir fotografías o vídeos a la web del centro o las redes sociales, será necesario recabar el consentimiento expreso de los interesados (alumnos, padres o tutores legales, profesores y cualquier otro personal del centro). Además, se les proveerá de la siguiente información:

Datos que se van a publicar.

Redes sociales en las que se van a utilizar.

Finalidad de uso.

Quién puede acceder a los datos.

Plazo durante el que se van a conservar las imágenes, así como los criterios para su eliminación.

En el caso de que un profesor quiera usar las imágenes en su blog personal, al margen de la función de docencia, deberán siempre solicitar el consentimiento expreso de alumnos o padres o tutores legales, siendo el profesor el responsable del tratamiento.
- Otros medios:
Si en el centro se han instalado cámaras de videovigilancia, esta instalación debe responder a un interés legítimo del centro en mantener la seguridad e integridad de las personas e instalación. Y deberá tener en cuenta lo siguiente:

Su colocación debe ser proporcional, es decir, que la finalidad perseguida no se pueda conseguir por otros medios menos intrusivos y que la instalación de cámaras de seguridad ofrezca más beneficios que perjuicios (por ejemplo, velar por la seguridad física o psicológica de los menores).

Informar de su existencia mediante el distintivo correspondiente, donde debe figurar la información que exige la normativa de protección de datos.

No podrán colocarse nunca en zonas íntimas o donde se espere privacidad, como aseos o vestuarios.

Sanciones por no cumplir la normativa de protección de datos en centros educativos

No cumplir con la normativa de protección de datos en centros educativos es motivo de sanción. La cuantía de estas sanciones se determina con relación a la gravedad de las mismas, de acuerdo con las infracciones recogidas en la LOPDGDD y en el RGPD, de manera que:

Las infracciones leves (art. 74 de la LOPDGDD) están sancionadas con hasta 40.000 euros.

Las infracciones graves (art. 73 de la LOPDGDD) están sancionadas desde 40.001 a 300.00 euros.

Las infracciones muy graves (art. 72 de la LOPDGDD) están sancionadas desde 300.001 a 20 millones de euros (o el 4% del volumen de facturación, la cuantía que resulte superior).

¿Necesitas ayuda con la Ley de Protección de Datos en tu centro educativo?

Si después de leer esta guía de protección de datos en centros educativos aún tienes dudas o necesitas ayuda para su correcta aplicación, no dudes en ponerte en contacto con Grupo Atico34, nuestro equipo de profesionales expertos en protección de datos te ayudarán y asesorarán en todo cuanto necesites.

# data[].attributes.attachment_link.title
Protección de datos en centros educativos. Guía 2023 | Grupo Atico34

# data[].attributes.attachment_link.description
Guía para aplicar la ley de protección de datos en centros educativos. ¿Qué obligaciones RGPD y LOPDGDD se deben cumplir? ✅

# data[].attributes.headline
Difusión de trabajos, fotografías, o documentos creados por los alumnos.

# data[].attributes.subject
Difusión de trabajos, fotografías, o documentos creados por los alumnos.

# data[].attributes.headline
Tratamiento de la imágenes de los alumnos.

# data[].attributes.subject
Tratamiento de la imágenes de los alumnos.