# data[].attributes.body
Toda aquella información en la que se revela
parte de nuestra vida privada: quién eres, dónde vives, quiénes son tus padres, qué cosas son las que te gustan, qué haces en tu tiempo libre u otro tipo de datos que revelen información personal que puede comprometer tanto a él como al resto de miembros de su familia.

# data[].attributes.attachment_link.readable_text
0:00 / 3:06•Watch full video

# data[].attributes.headline
Agencia española de protección de datos.

# data[].attributes.subject
Agencia española de protección de datos.

# data[].attributes.attachment_link.readable_text
Si tienes conocimiento de la publicación en internet de fotografías, vídeos o audios de contenido sexual o violento cuya difusión ilícita pone en grave riesgo los derechos y libertades o la salud física y/o mental de las personas afectadas, puedes solicitar su retirada inmediata en el Canal prioritario de la Agencia.

# data[].attributes.attachment_link.description
Si tienes conocimiento de la publicación en internet de fotografías, vídeos o audios de contenido sexual o violento cuya difusión ilícita pone en grave riesgo los derechos y libertades o la salud física y/o mental de las personas afectadas, puedes solicitar su retirada inmediata en el Canal prioritario de la Agencia.

# data[].attributes.headline
Obligaciones de los centros educativos respecto al tratamiento de datos.

# data[].attributes.subject
Obligaciones de los centros educativos respecto al tratamiento de datos.

# data[].attributes.attachment_link.readable_text
En los Centros Educativos se dan dos circunstancias básicas que hacen necesario un adecuado tratamiento de los datos personales:

Conviven adultos con menores.

Se trata un gran volumen de información personal relativa a los estudiantes, sus padres, el personal del centro, etc.

Es por ello que los centros educativos deben adoptar una serie de medidas de seguridad en relación a los sistemas de información, a través de los que se tratan los datos personales.

Por ejemplo, es algo habitual que los colegios tengan perfiles en las redes sociales en los que publiquen fotos de sus alumnos en excursiones, competiciones o actos de todo tipo.

También hay profesores que descargan una determinada aplicación educativa, con proveedor extranjero la mayoría de las veces, y la utilizan. Y todo ello aunque deba aportarse información de carácter personal de los alumnos.

Y el colegio, a pesar de tener conocimiento de estos hechos en muchos casos, no controla los dispositivos utilizados, el software, las medidas de seguridad que deben aplicarse y los correspondientes consentimientos que deben solicitarse.

Tipos de datos personales que tratan los centros educativos

Los tratamientos más comunes en un centro educativo según el tratamiento habitual de datos son:

Expediente académico: ficheros sobre calificaciones, absentismo, etc. de los alumnos.

Personal docente: ficheros de profesores para la gestión interna del centro escolar.

Personal no docente: personal de mantenimiento, limpieza, etc.

Servicios adicionales: servicios adicionales del centro como pueden ser, comedor, transporte ó guardería.

Proveedores: sobre los servicios de los proveedores.

Admisión de alumnos: sobre los datos que se incluyen en procesos de matriculaciones, solicitudes, etc.

Asesoramiento psicopedagógico: con datos sobre dificultades de aprendizaje de los alumnos.

Otros ficheros: según los servicios y características del centro, como pueden ser los de videovigilancia o control de accesos mediante huella dactilar.

Requisitos de los centros educativos

Según el RGPD, los centros educativos se convierten en Responsables del tratamiento de los datos y deben adoptar una serie de medidas de seguridad en relación a los sistemas de información a través de los que se tratan los datos personales relativos al alumnado, a sus representantes legales, al profesorado, etc.

Es decir, se debe elaborar un Registro de Actividades de tratamiento de todos los ficheros que contengan datos personales.

También deben elaborar un Documento de Seguridad, que contemple los ficheros mediante los cuales se tramita la información, los sistemas utilizados (informatizados o en soporte papel) y las medidas de seguridad implantadas que impone la legislación vigente (claves individuales de acceso, control de acceso, copias de seguridad, etc.).

Por otro lado, es imprescindible informar y formar al personal del centro escolar acerca de cuáles son sus competencias sobre a la información que deben gestionar para el ejercicio de sus funciones y cuáles son las medidas que el centro impone para garantizar la protección de la privacidad, especialmente de los menores.

Obligaciones de los centros educativos

1. Llevar un Registro de actividades de tratamiento

2. Realizar un análisis de riesgos

3. Realizar una Evaluación de Impacto en Protección de Datos

4. Nombrar un Delegado de Protección de Datos

5. Obtener los consentimientos

6. Notificar las violaciones de seguridad

1. Registro de actividades de tratamiento

Debe contener la siguiente información:

nombre y datos de contacto del responsable y del delegado de protección de datos;

los fines del tratamiento;

una descripción de las categorías de interesados y de las categorías de datos personales;

las categorías de destinatarios a quienes se comuniquen los datos personales;

las transferencias de datos personales a un tercer país o una organización internacional;

los plazos previstos para la supresión de las diferentes categorías de datos;

una descripción general de las medidas técnicas y organizativas de seguridad.

2. Análisis de riesgos

Los centros educativos deberán realizar una valoración del riesgo que suponga el tratamiento de datos que realicen o vayan a realizar (pérdida, destrucción o alteración por mero accidente o de forma ilícita o acceso no autorizado), con la finalidad de implantar las medidas de seguridad técnicas y organizativas necesarias.

Deben adoptar las medidas que, por defecto, garanticen que sólo se tratarán los datos necesarios para la finalidad para la que se recogieron y que no estén accesibles a un número indeterminado de personas.

3. Evaluación de Impacto

Según el RGPD, será obligatorio realizar una Evaluación de impacto en Protección de Datos en los siguientes casos:

Tratamiento a gran escala de datos sensibles (origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, biométricos, de salud y los relativos a la vida u orientación sexual).

Observación sistemática a gran escala de una zona de acceso público (videovigilancia).

Elaboración de perfiles sobre cuya base se tomen decisiones que produzcan efectos jurídicos sobre los interesados.

4. Delegado de Protección de Datos

Los centros educativos tienen la obligación de nombrar un Delegado de Protección de Datos que supervise el cumplimiento de la normativa y sirva de enlace con la Autoridad de Protección de Datos.

5. Consentimiento

El consentimiento de los alumnos o de sus padres o tutores no se podrá obtener de forma tácita. Es necesaria una clara acción afirmativa del interesado.

Cuando se refiera al tratamiento de datos sensibles o para transferencias internacionales de datos, el consentimiento además deberá ser expreso.

6. Notificación de brechas de seguridad

Si se produce destrucción, pérdida, alteración accidental o ilícita, comunicación o acceso no autorizado, lo que se denomina una violación de seguridad, se habrá de notificar a la Agencia Española de Protección de Datos o a la Autoridad autonómica correspondiente y, en su caso, comunicar a los interesados.

OTROS TEMAS A TENER EN CUENTA

Proceso de matriculación

Desde el momento de la matrícula, en el impreso ha de informarse, con lenguaje claro y sencillo de:

1. La existencia de un fichero o tratamiento de datos personales.

2. Finalidad para la que se recaban los datos y su licitud.

3. La obligatoriedad o no de facilitar los datos y las consecuencias de la negativa a facilitarlos.

4. Destinatarios de los datos.

5. Derechos de los interesados (acceso, rectificación, cancelación u oposición) y dónde ejercitarlos.

6. Identidad del responsable del tratamiento, es decir, la Administración educativa (si es público) el centro (si es privado).

La lista de alumnos admitidos solo se publicará en el tablón interno del centro o en una página en el sitio web del centro, a la que únicamente podrán tener acceso las personas que hayan solicitado la plaza.

Ésta es una medida de protección imprescindible teniendo en cuenta que buscando en internet el nombre completo de un estudiante puede averiguarse en qué centro cursa estudios y de qué estudios se trata.

También como medida de protección, en casos de violencia de género, la admisión le será comunicada directamente a la madre, de forma privada.

Publicación de fotografías

A la hora de publicar fotografías en las redes sociales o captar imágenes de los menores en determinadas actividades del centro, es necesario solicitar el consentimiento de los representantes legales de los menores, y el centro debe aprobar determinadas medidas de seguridad.

No es conveniente tener más fotografías de los alumnos que aquellas destinadas a los listados de clase.

En caso de fotografiar salidas escolares, actuaciones u actividades especiales que organice el centro, podrán subirse a su sitio web solo si, al igual que en las listas de admitidos, la página en la que se visualicen sea de acceso restringido a los padres y en ella se recuerde que las imágenes no pueden ser descargadas o capturadas.

Reparto de notas

Repartir entre los miembros del Consejo Escolar las notas de todos los alumnos con sus nombres para ver las dificultades que puedan tener y buscar las mejoras necesarias, podría ser contrario al artículo 4 de la LOPD dado que se trataría de un acceso excesivo de información que no estaría justificado.

Con el mismo propósito de proteger al alumnado de rechazo u hostilidad por parte de sus compañeros, los profesores tampoco podrán publicar calificaciones individuales de exámenes o trabajos.

De hecho, ni siquiera deberían comunicarlas oralmente durante la clase.

Auditorías

También es importante que el colegio lleve a cabo Auditorías de cumplimiento que pueden ser internas o externas, siempre que se desarrolle por un profesional experto en la materia, que diagnostique si se está cumpliendo con los requisitos mínimos establecidos por la normativa, o bien, indique los aspectos que necesiten de adaptación.

Datos de salud de los alumnos

Sí que se pueden recoger los datos de salud de los alumnos, y se pueden distinguir los siguientes momentos:

En la matriculación: discapacidades, enfermedades crónicas, intolerancias alimentarias o alergias.

Durante el curso escolar: tratamiento médico facilitado a un alumno a través del servicio médico o de enfermería del centro, o los informes de centros sanitarios a los que se le haya trasladado como consecuencia de accidentes o indisposiciones sufridas en el centro, o los informes de los equipos de orientación psicopedagógica.

Datos biométricos

El RGPD incluye a los datos biométricos dentro de las categorías especiales de datos.

La normativa de protección de datos exige que los datos que se recaben sean adecuados, pertinentes y no excesivos.

Han de responder al principio de proporcionalidad, es decir, deben ser idóneos para la finalidad que se pretende conseguir con su recogida, no deben existir otros medios menos intrusivos para ello, y de su tratamiento deben derivarse más beneficios para el interés general que perjuicios sobre otros bienes y valores.

La AEPD ha admitido el uso de la huella dactilar para fines como el control de acceso al servicio de comedor en centros escolares con un gran número de alumnos, siempre que se establezcan medidas que refuercen la confidencialidad de los datos como la conversión de la huella a un algoritmo, el cifrado de la información, la vinculación a un dato distinto de la identificación directa del alumno o la limitación de los protocolos de acceso a los datos.

Situación familiar

Los centros educativos pueden recabar la información sobre la situación familiar de los alumnos.

Entre los datos que se recogen en las escuelas está la situación familiar de los estudiantes.

Por tanto, se tratarán datos tanto de padres como de alumnos. Estos últimos datos son relevantes, por ejemplo, en caso de divorcios, pues el colegio debe saber quién ostenta la patria potestad.

Esta información debe estar actualizada y los progenitores han de informar a los centros sobre cualquier modificación.

En caso de que los padres estén separados, debe solicitarse información sobre quién tiene la patria potestad y sobre los autorizados para recoger al alumno.

Datos para fines distintos de la función educativa

Los centros educativos pueden recabar datos para otras finalidades legítimas, como puede ser la gestión de la relación jurídica derivada de la matriculación de los alumnos, o dar a conocer la oferta académica, participar con los alumnos en concursos educativos u ofrecer servicios deportivos, de ocio o culturales.

En estos casos, se podrán solicitar los datos necesarios, bien como consecuencia de la relación jurídica establecida con la matrícula, o si media el consentimiento previo de los alumnos o de sus padres o tutores.

Servicios escolares como enfermería, comedor, transporte o seguridad

El centro educativo tendrá que firmar un contrato con las empresas de los servicios prestados, en el que se defina que dichas empresas, aunque no son las responsables de los datos personales, ostentan la condición de encargadas de los datos y por consiguiente tienen el mismo deber de guardar secreto, deber que perdurará incluso más allá de finalizar la relación entre el colegio y la empresa.

Cámaras de vigilancia en patios de recreo y comedores

Se pueden instalar siempre y cuando la instalación responda a la protección del interés superior del menor, toda vez que, sin perjuicio de otras actuaciones como el control presencial por adultos, se trata de espacios en los que se pueden producir acciones que pongan en riesgo su integridad física, psicológica y emocional.

Las cámaras serán señalizadas y bajo ninguna circunstancia, ni aunque haya riesgo de conflictividad, podrán instalarse en las aulas, vestuarios y aseos de estudiantes o profesorado, puesto que sería una invasión de la intimidad.

Teléfono móvil

Los maestros habrán de respetar también la privacidad de los estudiantes de cara a sus dispositivos de telefonía móvil.

Si son requisados durante la clase, no podrán permanecer en poder del profesor una vez finalizada ésta, ni mucho menos accederse a la información que almacenan.

A excepción, eso sí, de que haya fundadas sospechas de que peligra la integridad de un alumno (situaciones de ciberacoso, sexting, grooming o de violencia de género) en cuyo caso, previa ponderación y siguiendo el protocolo establecido por el centro, podrá accederse a dichos contenidos, así como a cualquier otra información que pudiera resultar esencial.

# data[].attributes.attachment_link.title
PROTECCIÓN DE DATOS EN CENTROS EDUCATIVOS - Gestiona Abogados

# data[].attributes.attachment_link.description
En los Centros Educativos se dan dos circunstancias básicas que hacen necesario un adecuado tratamiento de los datos personales: Conviven adultos con menores. Se trata un gran volumen de información personal relativa a los estudiantes, sus padres, el personal del centro, etc.

# data[].attributes.headline
Guía para centros educativos sobre el uso de datos.

# data[].attributes.subject
Guía para centros educativos sobre el uso de datos.

# data[].attributes.headline
Algunas consideraciones sobre la protección de datos en centros educativos

# data[].attributes.subject
Algunas consideraciones sobre la protección de datos en centros educativos

# data[].attributes.attachment_link.title
Protección de datos en los centros educativos

# data[].attributes.headline
¿Cómo debemos tratar las imágenes de los alumnos/as?

# data[].attributes.subject
¿Cómo debemos tratar las imágenes de los alumnos/as?

# data[].attributes.attachment_link.title
El tratamiento de imágenes de carácter personal en el ámbito escolar

# data[].attributes.attachment_link.description
En los últimos meses, el número de consultas a la Agencia Española de Protección de Datos (AEPD) en relación al tratamiento de imágenes de menores en el ámbito escolar, ha sufrido un incremento como consecuencia del mayor uso de herramientas de videoconferencias y similares, derivado del cambio de modelo educativo a consecuencia de la pandemia.

# data[].attributes.headline
Consideraciones a tener en cuenta a la hora de transmitir calificaciones:

# data[].attributes.subject
Consideraciones a tener en cuenta a la hora de transmitir calificaciones:

# data[].attributes.body
1. Entregar las calificaciones a los alumnos/as y a su tutor/a legal.
2. Evitar informar de las mismas delante de los demás compañeros.

# data[].attributes.headline
Ley de Protección de datos en un centro educativo

# data[].attributes.subject
Ley de Protección de datos en un centro educativo

# data[].attributes.attachment_link.readable_text
¿Deben cumplir la Ley de Protección de Datos los centros educativos? ¿Cómo deben adaptarse a la normativa? ¿Qué tipo de datos personales manejan los centros educativos? ¿Quién es el responsable del tratamiento? ¿Deben designar un Delegado de Protección de Datos?

En esta guía de protección de datos para centros educativos daremos respuesta a estas y otras preguntas relacionadas con la materia.

En este artículo hablamos de:

¿Están obligados a cumplir la Ley de Protección de Datos los centros educativos?

Cumplir con la Ley de Protección de Datos en centros educativos es una obligación ineludible, dado el volumen de datos que estos tratan, desde los del alumnado hasta el de sus empleados, además de tratar datos de menores de edad, estos centros también pueden llegar a tratar datos de categorías especiales (como los de la salud).

Además, adaptar la normativa de protección de datos en centros educativos entraña, en muchos casos, cumplir con unas obligaciones más estrictas, puesto que cuando hablamos de colegios, institutos y academias, hablamos de tratar datos de menores de edad, de sus padres o tutores y, como decíamos, de los propios empleados del centro.

Así mismo, la normativa de protección de datos también debe tener en cuenta respecto a la publicación de notas, el acceso a las calificaciones por parte de los padres de alumnos mayores edad, el uso de imágenes de alumnos en la página web o redes sociales del centro, cuándo un profesor puede grabar a sus alumnos durante una actividad, etc.

Solicita INFO sobre cómo cumplir la ley de protección de datos en centros educativos.

Normativa de protección de datos para centros educativos

La normativa de protección de datos para centros educativos la tenemos en:

El RGPD (Reglamento General de Protección de Datos, que es el marco regulatorio europeo, vigente desde 2016 y que introdujo varias novedades respecto a la protección de datos, entre ellas, el consentimiento expreso, el registro de actividades de tratamiento o la figura del Delegado de Protección de Datos (DPO).

La LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales), es la ley española de protección de datos, con la que se adaptó al ordenamiento jurídico español el RGPD. Vigente desde 2018, cumplirla implica cumplir el RGPD, puesto que contempla básicamente las mismas obligaciones, infracciones y sanciones.

Ley de Educación.

Guía para la protección de datos en centros educativos

Para adaptar la Ley de Protección de Datos en centros educativos, estos deben cumplir con una serie de obligaciones y requisitos establecidos en la normativa, siempre teniendo en cuenta el tipo de datos personales que se tratan en los centros y la finalidad de los tratamientos, que siempre deberá estar relacionada con la función docente y orientadora.

¿Quién es el responsable de la protección de datos en centros educativos?

Quién asume el papel del responsable de la protección de datos en los centros educativos, es decir, quién es el responsable del tratamiento, depende de si el centro es público o privado.

Así, cuando el centro educativo es público, el responsable del tratamiento será la Administración pública correspondiente (la Consejería de la Comunidad Autónoma competente en materia educativa, con excepción de Ceuta y Melilla y los centros fuera de España bajo titularidad del Estado, que dependerán del Ministerio de Educación).

En el caso de los centros concertados o privados, el responsable del tratamiento será el propio centro.

¿Qué tipos de datos tratan los centros educativos?

Como ya dijimos al comienzo de esta guía de protección de datos en centros educativos, estos tratan un gran volumen de datos personales, pero ¿cuáles exactamente?

Por un lado, los centros educativos van a tratar datos identificativos de alumnos, padres o tutores de alumnos y empleados: nombre, apellidos, domicilio, teléfono, DNI, email, etc.

Por tro lado, la Ley de Educación también legitima a los centros educativos a recabar datos de carácter personal para la ayuda a la función docente y orientadora de los alumnos. De manera que también tratarán los siguientes datos:

Origen y ambiente familiar y social: Con esto nos referimos a toda la información sobre la situación familiar de los alumnos. Un centro escolar puede recoger información relativa tanto a los alumnos como a los padres. El caso de los padres es relevante, ya que si, por ejemplo, están divorciados, el centro debe saber quién ostenta la patria potestad para la recogida de los menores.

Características o condiciones personales del menor: Aquí encontramos los llamados datos sensibles, en cuanto sean necesarios para la función educativa. En este caso hay diferentes momentos en que se pueden recabar datos sensibles del menor, entre los que destacamos:

En la matriculación del alumno:

Discapacidades

Enfermedades crónicas

TDAH

Intolerancias alimentarias

Alergias

Durante el curso escolar:

Tratamiento médico que reciba un alumno a través del servicio médico o de enfermería del centro

Informes de centros sanitarios a los que se le haya trasladado como consecuencia de accidentes o indisposiciones sufridas en el centro

Informes de los equipos de orientación psicopedagógica

Desarrollo y resultados de su escolarización: Se trata de datos e información relacionada con el rendimiento escolar, como, por ejemplo, las notas de cada uno de los alumnos, así como las asignaturas que ellos mismos hayan podido escoger.

Circunstancias cuyo conocimiento sea necesario para educar y orientar a los alumnos: Este punto nos enlaza con los dos primeros, ya que será necesario el conocimiento de la situación familiar y personal del alumno para su buen desarrollo educativo. Por ejemplo, conocer la situación socioeconómica de una familia puede ayudar a determinar si un alumno necesita más o menos apoyo en determinadas áreas o acceso a material escolar.

Datos ajustados a la finalidad: Como ocurre en otros ámbitos, uno de los requisitos de la ley de protección de datos en centros educativos es no recabar datos personales que sean excesivos para la finalidad para la que son recogidos. Por ejemplo, en el caso de las solicitudes de plaza en un centro de enseñanza, no es necesario recabar los datos bancarios para el pago de actividades extraescolares hasta que no se hubiera resuelto el proceso y fuese admitido el alumno.

Recogida de datos personales: Legitimación y consentimiento expreso

De acuerdo a la normativa de protección de datos, los centros educativos están legitimados para el tratamiento de datos personales para dar cumplimiento, como hemos dicho, a la función docente y orientadora. En estos casos, el consentimiento expreso para el tratamiento de datos no será necesario, pero sí deberá informar a los interesados (alumnos, padres o tutores y empleados) de la realización de dicho tratamiento.

Cuando sea necesario llevar un tratamiento de datos que no esté legitimado por esa finalidad, será necesario recabar el consentimiento expreso de los interesados. También deberá recabarse este consentimiento expreso cuando se traten categorías de datos especiales o sensibles (origen racial, relativos a la salud y a la vida sexual, ideología, religión o creencias o afiliación sindical), además, deberá recogerse por escrito.

Los alumnos mayores de 14 años podrán prestar su consentimiento ellos mismos, mientras que para los menores de 14 años deberá recabarse el consentimiento de padres o tutores legales.

Como el consentimiento debe quedar registrado, lo habitual es recurrir a incluir la correspondiente cláusula en el mismo impreso o formulario en el que se van a recabar los datos (por ejemplo, en el formulario de matriculación), usando casillas para marcar el otorgamiento del consentimiento o mediante la firma.

El consentimiento ha de ser inequívoco y específico, correspondiendo al centro o a la Administración educativa acreditar su existencia.

En cuanto a los profesores, más allá de cuando los profesores recogen datos personales de los alumnos en el ejercicio de sus funciones administrativas, también estarán legitimados para recoger datos personales de los alumnos directamente en el desempeño de sus labores docentes, por ejemplo, para evaluar ejercicios, dentro de las instrucciones o protocolos internos al respecto del centro.

La protección de datos en centros educativos requiere cumplir con el deber de informar a los interesados (alumnos, padres o tutores legales y empleados del centro) de todo lo relativo al tratamiento de sus datos, en concreto se informará sobre:

El tratamiento de datos

La identidad del responsable del tratamiento, del Delegado de Protección de Datos (DPO) y del encargado o encargados del tratamiento

La finalidad del tratamiento

El plazo de conservación de los datos

Si los datos serán cedidos a terceros (identificando a los mismos)

Si se producirán transferencias internacionales de datos y las garantías de las mismas

La vía para ejercer los derechos ARSULIPO (acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición)

Registro de actividades de tratamiento

Dado el volumen y las categorías de datos que manejan los centros educativos, el responsable del tratamiento está obligado a llevar un registro de actividades de tratamiento, de manera que por cada tratamiento de datos personales que se haga en el centro (listado de alumnos, nóminas de profesores, cámaras de seguridad, información referente a la salud, etc.), se deberá realizar el correspondiente registro de actividades de tratamiento, que recogerá la siguiente información:

Datos identificativos del responsable del tratamiento, del encargado o encargados del tratamiento y del DPO

La finalidad del tratamiento

La base legitimadora del tratamiento

Las categorías de datos e interesados afectados

Las categorías de destinatarios de los datos existentes o previstos

Las transferencias internacionales de datos (si procede)

El plazo de conservación de los datos

Descripción general de las medidas técnicas y organizativas de seguridad

Análisis de riesgos y evaluación de impacto

Una de las principales obligaciones en materia de protección de datos para centros educativos es llevar a cabo análisis de riesgos y, cuando sea necesario, la evaluación de impacto en protección de datos (EIPD).

Con carácter previo a cualquier tratamiento de datos, el centro realizará un análisis de riesgos, para determinar la posibilidad de que dicho riesgo se materialice y cómo afectaría a los interesados. Este análisis, además, se empleará para diseñar e implementar las medidas de seguridad necesarias para minimizar las probabilidades de materialización del riesgo y para reducir su impacto, si al final ocurre.

Hablamos aquí de riesgos que pongan en peligro la integridad, disponibilidad, fiabilidad y confidencialidad de los datos, tanto físicos como digitales, accidentales o intencionados.

La EIPD se deberá realizar cuando el tratamiento de datos personales afecte a datos sensibles y cuando del análisis de riesgos se determine que un nivel de riesgo alto para los derechos y libertades de los interesados, en caso de materializarse un riesgo o amenaza. La EIPD es un análisis de riesgos más en profundidad y centrado en ese impacto sobre la vida de los interesados.

Las conclusiones del análisis de riesgos y de la EIPD servirán a los centros educativos para diseñar e implementar las medidas técnicas y organizativas necesarias para garantizar la seguridad, integridad, disponibilidad y confidencialidad de los datos personales que manejan. Estas medidas deben impedir el acceso de terceros no autorizados a los datos personales del centro, evitar su pérdida o destrucción o su filtración.

Cesión de datos a terceros

Cuando los centros educativos, para cumplir con algunas de sus funciones, deben contratar los servicios de terceros externos a los mismos (por ejemplo, servicio de comedor, servicio médico, de transporte, etc.) y estos tienen acceso a los datos personales de alumnos, padres o tutores y empleados del centro, se deberá firmar con ellos un contrato de encargo del tratamiento.

Este contrato debe recoger:

La obligación de tratar solo los datos personales cedidos por el responsable del tratamiento.

Que los datos no se utilizarán con finalidades diferentes a las previstas en el contrato, ni se comunicarán a otros.

Las medidas de seguridad implementadas o que debe implementar el encargado del tratamiento.

Qué se hará con los datos una vez cumplida la finalidad del tratamiento o el plazo de conservación.

Cabe señalar que no se considerarán encargados del tratamiento a las personas físicas que tengan acceso a los datos personales de alumnos, padres o tutores y empleados en su condición de empleados del centro o de la Administración educativa responsables del tratamiento (por ejemplo, los profesores que pueden acceder a los datos de sus alumnos no son encargados del tratamiento).

Deber de confidencialidad

Todo el personal del centro educativo que haya tenido acceso a datos personales tiene el deber de guardar secreto sobre los mismos, no publicarlos, difundirlos o filtrarlos, bien por intereses personales o en beneficio de terceros o bien de manera accidental. Este deber se prolongará una vez finalizada la relación contractual con el centro.

Para asegurar el cumplimiento del deber de confidencialidad, se puede recurrir a la inclusión de una cláusula de confidencialidad en el contrato de los empleados, en la que, además, se explicarán las consecuencias de no cumplir con este deber.

Puesto que hay determinados casos en que los datos personales de alumnos y exalumnos, así como de empleados y exempleados del centro educativo deben conservarse, incluso cuando se haya cumplido la finalidad para la que fueron recabados, se deberá proceder al bloqueo de dichos datos, de manera que no serán eliminados, pero no podrán usarse o accederse a ellos, salvo que así lo requiera una administración pública o las autoridades judiciales en el ejercicio de sus funciones.

Designación de Delegado de Protección de Datos

Con independencia de si son centros educativos públicos o privados, estos están obligados a designar o contratar un DPO, que se ocupará, entre otras funciones, de supervisar el cumplimiento de la normativa, asesorar al responsable del tratamiento y actuar como enlace entre la AEPD y el propio centro.

Esta obligatoriedad del delegado de protección de datos puede cumplirse designando un empleado del centro como tal o contratando los servicios de un DPO externo, por ejemplo, a través de una consultoría externa especializada en protección de datos.

Notificación de brechas de seguridad

En el caso de que se produzca un incidente de seguridad que dejé al descubierto o provoque la filtración de los datos personales de alumnos, padres o tutores o personal del centro educativo y pueda suponer un riesgo para sus derechos y libertades, este deberá informar, en un plazo no superior a 72 horas, a la AEPD y a los propios interesados cuyos datos se hayan visto afectados.

Otras consideraciones sobre protección de datos en centros educativos

Esta guía de protección de datos en centros educativos no estaría completa si, aparte de las obligaciones y requisitos que hemos visto que deben cumplir en materia de protección de datos los centros educativos, no mencionáramos las siguientes consideraciones, relacionadas con cómo y dónde pueden los centros educativos o su personal publicar datos personales.

¿Qué tipo de datos pueden publicar los centros educativos?

De acuerdo a la Ley de Protección de Datos, los centros educativos pueden publicar los siguientes datos personales:
- Listas de admitidos:
Se puede publicar la lista de alumnos admitidos siempre y cuando se haga de una manera que no suponga un acceso indiscriminado la información:

Publicación en tablones dentro del centro.

A través de una página web de acceso restringido.

Esta publicación deberá recoger solo el resultado final del baremo, no resultados parciales que puedan responder a datos o información sensible o poner de manifiesto la capacidad económica de la familia.

Esta información, no obstante, estará disponible para los interesados que ejerzan su derecho a reclamar.
- Notas de alumnos:
A diferencia de lo que ocurre en la educación universitaria, la publicación de notas en los centros educativos no está regulada y, por lo tanto, es un tema en el que es habitual que surjan dudas.

Para resolver estas dudas, la guía de protección de datos en centros educativos de la AEPD nos da algunas directrices, que resumimos a continuación:

Como norma general, las notas de los alumnos solo se deben facilitar a los propios alumnos y sus padres, evitando su exposición pública en tablones de anuncios o comunicándolas de forma oral en la clase.

Si las notas se comunican a través de una plataforma digital, estas solo deberían ser accesibles para los propios alumnos, sus padres o tutores.

En el caso de que el alumno fuese mayor de edad, los padres podrán solicitar el acceso a las notas cuando estos corran con los gastos educativos o de alimentos (en el caso de padres separados), ya que se considera que existe un interés legítimo de los padres derivado del mantenimiento de sus hijos mayores de edad.

- Beneficiarios de becas:
En estos casos hay que poner en valor dos situaciones:

Si la beca está fundada en una situación de discapacidad de los beneficiarios.

Si la beca puede afectar a la esfera íntima del afectado.

En estos casos, se podrá publicar solamente mediante el número identificador de la solicitud que solo el afectado conoce.
- Imágenes y videos:
Es habitual que los centros docentes, con motivo de eventos o celebraciones, recojan imágenes de alumnos, profesores y familiares. Pero ¿qué dice la ley de protección de datos en centros educativos respecto a la captación y publicación de imágenes en estas situaciones? Hay diferentes casuísticas que debemos tener en cuenta.

Primero, señalar que cuando el consentimiento para la captación y publicación de imágenes sea necesario, los alumnos mayores de 14 años podrán darlo ellos mismos, mientras que para los menores de 14 años, será necesario que el consentimiento lo den sus padres o tutores legales.

Así, cuando las imágenes o vídeos se capten con fines educativos, como pueden ser trabajos o evaluaciones, no será necesario recabar el consentimiento. Sí lo será cuando esas imágenes vayan a ser publicadas en la web del centro.

Los profesores podrán grabar a sus alumnos siempre y cuando la finalidad esté relacionada con la actividad docente y dichas imágenes solo estén accesibles para los propios alumnos, sus padres o tutores legales, aparte del propio profesor.

Si las imágenes las captan padres o tutores legales u otros familiares en el desarrollo de un evento escolar, al tratarse de un uso doméstico, la normativa de protección de datos no es de aplicación.

¿Dónde y cómo publicar los datos personales?

¿Dónde se pueden publicar datos personales y cómo hacerlo de acuerdo a la normativa de protección de datos para centros educativos?
- Tablón de anuncios:
Se pueden publicar listas de admitidos, notas y cualquier otra información similar en los tablones de anuncios de centro, cuando esta información deba estar disponible de forma pública. Si bien, esta publicación debe realizarse de manera proporcionada, es decir, sin que suponga un acceso indiscriminado a la misma (los tablones deben estar en el interior del centro o una web de acceso restringido) y solo deberá recoger el resultado final del baremo o contener ningún dato relativo a la situación particular de cada familia.

Una vez que ya no sean necesarios, estos listados se deberán retirar de los tablones.
- Página web y redes sociales:
Es habitual que la web de un centro educativo cuente con información referida a las actividades que desarrolla y los servicios que ofrece.

Debido a esto, en algunas ocasiones incluyen información que contiene datos de carácter personal de empleados del centro y los alumnos, por lo que se deben considerar y aplicar las obligaciones de la ley de protección de datos en centros educativos, en especial en lo que se refiere al consentimiento de los interesados.

Así mismo, si se van a subir fotografías o vídeos a la web del centro o las redes sociales, será necesario recabar el consentimiento expreso de los interesados (alumnos, padres o tutores legales, profesores y cualquier otro personal del centro). Además, se les proveerá de la siguiente información:

Datos que se van a publicar.

Redes sociales en las que se van a utilizar.

Finalidad de uso.

Quién puede acceder a los datos.

Plazo durante el que se van a conservar las imágenes, así como los criterios para su eliminación.

En el caso de que un profesor quiera usar las imágenes en su blog personal, al margen de la función de docencia, deberán siempre solicitar el consentimiento expreso de alumnos o padres o tutores legales, siendo el profesor el responsable del tratamiento.
- Otros medios:
Si en el centro se han instalado cámaras de videovigilancia, esta instalación debe responder a un interés legítimo del centro en mantener la seguridad e integridad de las personas e instalación. Y deberá tener en cuenta lo siguiente:

Su colocación debe ser proporcional, es decir, que la finalidad perseguida no se pueda conseguir por otros medios menos intrusivos y que la instalación de cámaras de seguridad ofrezca más beneficios que perjuicios (por ejemplo, velar por la seguridad física o psicológica de los menores).

Informar de su existencia mediante el distintivo correspondiente, donde debe figurar la información que exige la normativa de protección de datos.

No podrán colocarse nunca en zonas íntimas o donde se espere privacidad, como aseos o vestuarios.

Sanciones por no cumplir la normativa de protección de datos en centros educativos

No cumplir con la normativa de protección de datos en centros educativos es motivo de sanción. La cuantía de estas sanciones se determina con relación a la gravedad de las mismas, de acuerdo con las infracciones recogidas en la LOPDGDD y en el RGPD, de manera que:

Las infracciones leves (art. 74 de la LOPDGDD) están sancionadas con hasta 40.000 euros.

Las infracciones graves (art. 73 de la LOPDGDD) están sancionadas desde 40.001 a 300.00 euros.

Las infracciones muy graves (art. 72 de la LOPDGDD) están sancionadas desde 300.001 a 20 millones de euros (o el 4% del volumen de facturación, la cuantía que resulte superior).

¿Necesitas ayuda con la Ley de Protección de Datos en tu centro educativo?

Si después de leer esta guía de protección de datos en centros educativos aún tienes dudas o necesitas ayuda para su correcta aplicación, no dudes en ponerte en contacto con Grupo Atico34, nuestro equipo de profesionales expertos en protección de datos te ayudarán y asesorarán en todo cuanto necesites.

# data[].attributes.attachment_link.title
Protección de datos en centros educativos. Guía 2023 | Grupo Atico34

# data[].attributes.attachment_link.description
Guía para aplicar la ley de protección de datos en centros educativos. ¿Qué obligaciones RGPD y LOPDGDD se deben cumplir? ✅

# data[].attributes.headline
¿Qué datos pueden recogerse en el centro educativo?

# data[].attributes.subject
¿Qué datos pueden recogerse en el centro educativo?

# data[].attributes.attachment_link.readable_text
La adecuación a la normativa de protección de datos personales es obligatoria también para los centros educativos ya sean públicos, privados, concertados o academias escolares. En estos últimos años la concienciación por parte de los centros acerca de la privacidad de los datos e información de sus alumnos, es cada vez mayor.

La implantación de los protocolos y las medidas especiales en los centros educativos, no es solamente un mero cumplimiento normativo, estos tienen una responsabilidad mayor hacia su alumnado, prestando especial consideración a los menores a su cargo, y deben disponer todas las herramientas y procedimientos que tengan a su alcance para protegerles de cualquier tipo de daño.

Los centros implantarán medidas encaminadas a la protección de los datos de carácter personal de alumnos, empleados, proveedores, padres...; así como establecer además unas pautas básicas de concienciación sobre la importancia de la privacidad de los datos, los posibles peligros de internet, los riesgos de un mal uso de imágenes personales...la formación del alumnado debe ser pilar principal de la normativa de los centros en protección de datos.

La recogida de datos personales de los alumnos o sus padres/tutores en estos centros es parte fundamental de su actividad igual que el almacenamiento y tratamiento de estos.
El profesorado y el resto de personal del centro que accede a datos de los alumnos o sus familias deberán comprometerse a guardar secreto de ellos.
¿Qué Datos se pueden recoger por los centros?

La LOE permite que los centros recojan, traten y almacenen datos de carácter personal de sus alumnos siempre y cuando los fines del tratamiento cumplan con la función docente y orientadora del centro:

1. El origen y ambiente familiar y social.

2. Las características o condiciones personales.

3. El desarrollo y resultados de su escolarización.

4. Categorías especiales: salud, religión...

Deberán cumplir además con su obligación de información con carácter previo a la obtención del consentimiento por parte de los titulares de los datos / padres o tutores (si son menores de 14 años), además esta obligación de trasparecía por parte de los centros no solamente se debe respetar cuando sea necesario el consentimiento para el tratamiento, en los casos en que no sea necesario los centros también deberán informar a los interesados.

Todos los centros tienen que solicitar el consentimiento previo para la recogida, tratamiento y almacenamiento de los datos, esto se puede desarrollar incluyéndolo en el mismo impreso o formulario en el que se recaban los datos. Aunque el RGPD no estipula que el consentimiento deba ser prestado por escrito, si que prohíbe el consentimiento tácito y estipula una prueba clara de ese consentimiento, por lo que lo más conveniente será tenerlo por escrito. El consentimiento se debe recabar mínimo 1 vez siempre que el tratamiento de los datos responda a la información que al respecto se haya facilitado.

¿Pueden los padres / tutores negarse a facilitar datos al centro?

Los padres deberán facilitar al centro todos los datos necesarios para realizar la matricula del alumno y el desarrollo de la función educativa.

En centro está autorizado a recabar información sobre la situación familiar de los alumnos, la cual debe estar actualizada y los progenitores han de informar sobre cualquier modificación.

Si los profesores necesitaran conocer datos de los padres de los alumnos por alguna causa puntual y/o específica, por ejemplo situaciones de riesgo, y no dispusieran de ellos porque no han sido facilitados con anterioridad, el centro estará habilitado a recogerlos de los propios alumnos.

Si los padres del alumno están separados o divorciados, debe recabarse información sobre quién ostenta la patria potestad y quién ostenta la guarda y custodia. Deberá además recogerse en un documento por escrito quiénes son las personas autorizadas a recoger al alumno en el centro.

¿Pueden los padres acceder a las calificaciones o exámenes de sus hijos?

Hay que diferenciar entre las calificaciones y las pruebas, trabajos o exámenes, ya que estos últimos se tratan de documentación propia del centro que no está relacionada directamente con la normativa y que por lo tanto su acceso vendrá regulado por el propio centro y su normativa interna.

En caso que los alumnos fueran mayores de edad pero sean los padres quienes cubren sus gastos educativos y de alimentos están los padres en su derecho de acceder a las calificaciones con el fin de conocer su evolución académica. Sucede lo mismo para el caso del absentismo escolar, el centro podrá facilitar la información por un mensaje de móvil a los padres y/o tutores.

IMPORTANTE: el centro solo podrá dar esta información a los padres que ostenten la patria potestad o a los tutores, nunca a otros familiares, salvo que estuvieren autorizados por aquellos y constase claramente esa autorización por escrito.

Datos del autor:

Cuevas & Martínez Asesores

Asesoría empresarial para pymes, micropymes, autónomos y emprendedores. En Cuevas&Martínez Asesores ponemos a disposición de las empresas y autónomos un nuevo modelo de asesoría y consultoría estructurada y al alcance de las pequeñas organizaciones, una mirada más allá de la gestión diaria de la empresa. Nuestra profesión nos apasiona, volcamos todo nuestro esfuerzo en dar a nuestros clientes el Asesoramiento Profesional que se merecen y siempre a medida de su Empresa. Ponemos a disposición de las Empresas, profesionales de primer nivel, a través de un Servicio Integral basados en métodos de trabajo, que los adaptamos continuamente en búsqueda de la excelencia

# data[].attributes.attachment_link.title
Recogida de datos personales en centros educativos

# data[].attributes.attachment_link.description
La recogida de datos personales de los alumnos o sus padres/tutores en estos centros es parte fundamental de su actividad igual que el almacenamiento y tratamiento de estos. El profesorado y el resto de personal del centro que accede a datos de los alumnos o sus familias deberán