# data[].attributes.headline
¿Qué pasa con la protección de datos de los alumnos con la educación virtual?

# data[].attributes.subject
¿Qué pasa con la protección de datos de los alumnos con la educación virtual?

# data[].attributes.body
Ahora con el tiempo covid hemos tenido que reelaborar la forma de dar nuestras clases y pasarnos a la formación online, pero...¿cómo protegemos la imagen de nuestros estudiantes?

# data[].attributes.attachment_link.readable_text
Durante todo este periodo de confinamiento en casa, con los centros educativos cerrados y con la puesta en marcha de planes de Educación on line, la mayor parte de los profesores ha tenido que ponerse al día con las nuevas tecnologías, descargándose programas y aplicaciones de videollamadas e implementando nuevos proyectos metodológicos para poder enseñar a distancia. Precisamente, la rapidez y la imprevisión con la que se ha desarrollado esta situación ha hecho que surjan muchas dudas sobre la precaución y los riesgos a la hora de utilizar estas herramientas.

Durante este tiempo, son muy frecuentes preguntas de los docentes como ¿puedo grabar la videconferencia con Zoom?, ¿puedo hacer una foto de esa videoconferencia mientras estoy hablando con mis alumnos?, ¿puedo publicarlo después en la web del colegio o en las redes sociales?, ¿debo contar siempre con el consentimiento de los padres antes de publicar alguna imagen de los alumnos?

Agustín González Ibáñez, abogado y miembro de la Comisión de Menores de la Asociación Profesional Española de Privacidad (APEP), asegura que hay que partir de dos obligaciones básicas que tienen los centros educativos: "en primer lugar, tratar los datos de los menores de edad como correspondientes a un grupo vulnerable y especialmente protegido, conforme a la normativa vigente; y en segundo lugar, informar a los alumnos y a todo el personal del centro de la política de protección de datos". Él considera "muy importante homogeneizar en todo el centro educativo el conocimiento en protección de datos para que el cumplimiento sea más fluido".

Agustín González participó hace unas semanas en unas Jornadas de teleeducación y privacidad de los menores conectados organizadas por la APEP. Junto a él, intervino Mario de la Peña, también abogado y miembro de la Comisión de Menores de la organización, que hizo hincapié en la importancia de la figura del delegado de protección: "Es una de la principales novedades del nuevo reglamento de protección de datos que entró en vigor en mayo 2018, y cualquier centro educativo tiene que realizar un informe que acredite por qué es necesario el delegado".

Además, recordó que "si la dirección decide hacer un cambio en la forma de impartir docencia o cambiar las aplicaciones que los profesores utilizan, el delegado de protección de datos debe estar presente en la toma de decisiones".

Otro de los temas que suele dar problemas en los centros educativos es el tratamiento de imágenes en redes sociales. Según Agustín González, "hay que tener mucho cuidado con las imágenes que utilizamos, ya que debemos ponderar la finalidad ". De esa forma, si la finalidad es difundir el centro educativo, hay que velar siempre por los intereses del menor, evitar primeros planos, respetar su privacidad...

El abogado advierte de que "por más que tengamos el consentimiento de la familia, hay que ponderar siempre los intereses del menor a la hora de publicar imágenes en redes sociales con la finalidad de difundir el centro". De la Peña también insiste en valorar la necesidad de subir las fotos a las redes sociales, y por supuesto, revisar antes el reglamento interno del centro. "Debemos tener establecido qué personas o profesores pueden usar esas fotos y a qué redes sociales pueden subirlas", señala.

Respecto al consentimiento, en España se puede ejercitar a partir de los 14 años, es decir, a esa edad los menores ya pueden gestionar sus imágenes en las redes sociales y también pueden tomar decisiones sobre el tratamiento de sus imágenes. De hecho, la mayoría de las redes sociales permiten que los mayores de 14 años ya puedan abrirse perfiles, porque si no serían los padres o tutores los que tendrían que autorizarlo.

De la Peña recuerda que "uno de los puntos de la ley orgánica de protección jurídica del menor indica que los padres, igual que los docentes, tienen la obligación a proteger la intimidad y la propia imagen de sus hijos". Por eso recomienda que pensemos que "cuando publicamos una imagen en una web o en una red social, después no vamos a poder controlar dónde va esa imagen ni qué se hace con ell a".

Desde su punto de vista, "lo idóneo es tener una red interna en el colegio para poder publicar esas imágenes, porque de la otra forma puede generarse una huella digital cuya expansión es muy difícil de controlar".

# data[].attributes.attachment_link.title
La protección de la imagen del menor debe prevalecer en la enseñanza a distancia - Magisnet

# data[].attributes.attachment_link.description
Durante todo este periodo de confinamiento en casa, con los centros educativos cerrados y con la puesta en marcha de planes de Educación on line, la mayor parte de los profesores ha tenido que ponerse al día con las nuevas tecnologías, descargándose programas y aplicaciones de videollamadas e implementando nuevos proyectos metodológicos para poder enseñar a distancia.

# data[].attributes.headline
Vídeo sobre la mejor manera de proteger los datos de los alumnos.

# data[].attributes.subject
Vídeo sobre la mejor manera de proteger los datos de los alumnos.

# data[].attributes.body
Vídeo que trata sobre como proteger los datos de los alumnos en ámbito educativo según el Gobierno.

# data[].attributes.attachment_link.title
EDUcharla: "La protección de datos en los centros educativos"

# data[].attributes.headline
Información sobre qué y cómo podemos manipular los datos personales como docentes.

# data[].attributes.subject
Información sobre qué y cómo podemos manipular los datos personales como docentes.

# data[].attributes.body
Un resumen sobre los datos que se pueden tratar dentro del centro escolar y que permisos se necesitan según la edad.

# data[].attributes.attachment_link.readable_text
En esa guía te explicamos cómo cumplir con la protección de datos en centros educativos. Descubre qué tipo de datos personales se pueden tratar en colegios y escuelas, qué obligaciones tienen los centros docentes o la información relativa a menores que se puede publicar.

El tratamiento de los datos en un centro educativo

La protección de datos en un centro educativo es fundamental, ya que se están tratando datos de menores de edad. Para el desarrollo de sus actividades, los centros docentes recaban información sobre los alumnos que es necesario proteger y tratar con la debida diligencia y cumpliendo los requisitos de la LOPD y el reglamento de protección de datos.

Por ejemplo, la publicación de imágenes de centros educativos es algo habitual; hablamos de imágenes de todo tipo que los colegios pueden tener en perfiles de las redes sociales en los que publiquen fotos de sus alumnos en excursiones, competiciones o actos de todo tipo.

También hay profesores que descargan una determinada aplicación educativa, con proveedor extranjero la mayoría de las veces, y la utilizan aunque para ello deba aportarse información de carácter personal de los alumnos. Todo ello sin que el centro, a pesar de tener conocimiento de estos hechos en muchos casos, controle los dispositivos utilizados, el software, las medidas de seguridad que deben aplicarse y los correspondientes consentimientos que deban solicitarse.

"Los centros educativos deben adoptar una serie de medidas de seguridad en relación a los sistemas de información a través de los que se tratan los datos personales del alumnado y personal del centro".

En los colegios se dan dos circunstancias básicas que hacen necesario un adecuado tratamiento de los datos personales:

Conviven adultos con menores.

Se trata un gran volumen de información personal relativa a los estudiantes, sus padres, el personal del centro, etc.

Por supuesto, las actuaciones que hemos comentado se realizan de buena fe y la creación de un perfil en las redes sociales o la captación de imágenes de los estudiantes no es ilegal en sí. El problema aparece cuando los cauces a través de los cuales se llevan a cabo estas actuaciones no son los apropiados ni los exigidos legalmente y esto supone un obstáculo para proteger la privacidad y la intimidad de los menores.

Por estos motivos, es necesario que cumplir con la ley de protección de datos en centros educativos.

¿Qué tipos de datos tratan los centros educativos?

Los datos personales que permiten identificar a una persona directa o indirectamente dentro del contexto de tratamiento de datos realizado en un centro educativo son:

Datos identificativos

Datos académicos, financieros o profesionales

Las imágenes captada de los alumnos

Categorías especiales de datos: por ejemplo, aquellos relativos a la salud de los alumnos, cuyo tratamiento se hace para prestar los correspondientes servicios médicos, conocer alergias y/o intolerancias de los alumnos respecto a los servicios de comedor escolar y para adaptar la docencia en función de posibles discapacidades físicas o psíquicas.

¿Cómo pueden recoger los datos personales?

Los centros educativos pueden recoger datos personales de sus alumnos de diversas maneras, por ejemplo a través de los formularios de inscripción en el colegio o escuela.

Sea cual sea el caso, la condición imprescindible para recabar datos personales de los alumnos es obtener consentimiento expreso. Además, en el caso de los alumnos menores de 14 años este consentimiento RGPD ha de ser otorgado por sus padres o tutores.

Esto incluye a la información de cualquier tipo, incluyendo las categorías especiales de datos que hagan referencia al origen ético o racial, o a la salud de los alumnos.

¿Qué tipo de datos pueden publicar los centros educativos?

A continuación vemos qué tipos de datos se pueden publicar en un centro docente, y cómo debe hacerse esta publicación.

Los centros educativos podrán hacer públicas las listas de admitidos, siempre y cuando se haga de forma restringida. Por ejemplo, a través de una página web de acceso restringido, o mediante la publicación de las listas en el tablón de anuncios del centro.

Solo se podrá publicar la nota final, esto es, la suma de todos los baremos, evitando cualquier información accesoria, por ejemplo, la relativa a la situación económica familiar.

La publicación de los beneficiarios de becas debe seguir los mismos preceptos que las listas de admitidos. A su vez, hay que tener en cuenta si la publicación puede afectar a la intimidad del alumno o si está basada en una situación de discapacidad. En casos como estos, la beca será publicada a través de un número identificador que evite la identificación personal del alumno por parte de terceros.

Datos personales en la web del centro

En caso de que se trate de una web de acceso restringido, se podrán publicar los datos, aunque se debería informar a los afectados. Si se trata de webs de acceso público será imprescindible contar con el consentimiento explícito de los alumnos, y si son mejores de 14 años, de sus padres o tutores.

Fotografías y vídeos de los alumnos

De nuevo, cualquier publicación de imágenes está supeditada a la obtención de consentimiento expreso. La autorización para publicar fotos de niños menores de 14 años debe ser otorgada por sus padres o tutores legales.

Requisitos de los centros educativos según la normativa de protección de datos

La protección de datos en centros docentes exige a estas instituciones cumplir con una serie de requisitos. Los vemos a continuación.

Legitimación para el tratamiento de datos

El tratamiento de datos en centros educativos ha de estar legitimado. El consentimiento expreso es la principal base para legitimar este tratamiento. De nuevo, recordamos que los mejores de 14 años no puede otorgar este consentimiento por sí mismos, sino que se ha de recabar por medio de sus padres o tutores.

Lealtad y transparencia

Los datos han de ser recabados y tratados de forma real. Esto implica que no se pueden recoger ni tratar más datos de los estrictamente necesarios para cumplir con la finalidad perseguida.

La protección de datos en colegios y escuelas también está supeditado al deber de información. Las instituciones educativas tienen el deber de informar acerca de:

El tratamiento de datos.

Identidad de responsables y encargados del tratamiento.

Finalidad del tratamiento.

Plazo de conservación de los datos

Si los datos se van a ceder a terceros

Vías para ejercer los derechos de Acceso, Rectificación, Supresión, Limitación del tratamiento, Portabilidad y Oposición.

Adoptar las medidas de seguridad pertinentes

Para una adecuada protección de datos en centros educativos, estas instituciones han de adoptar todas las medidas técnicas y organizativas necesarias para garantizar la seguridad, integridad y confidencialidad de los datos personales que manejan. Esto incluye la protección frente a cualquier acceso no autorizado o frente a cualquier pérdida o destrucción de la información.

Todos los profesionales de los centros educativos están obligados a guardar secreto sobre los datos personales de los estudiantes. Este deber persiste incluso una vez que haya finalizado la relación contractual con el centro docente.

Los datos solo se deben conservar durante el tiempo necesario para cumplir con la finalidad para la que fueron recabados. Una vez cumplido este plazo, se procederá a su bloqueo, que no eliminación. Este bloqueo o supresión de los datos implica que no se podrá acceder a dicha información, salvo que sea requerida por administraciones públicas o autoridades judiciales durante el ejercicio de sus funciones.

Obligaciones LOPD/RGPD en centros educativos

En este punto vemos las principales obligaciones en materia de protección de datos para centros educativos. Estas obligaciones tienen que ver con el registro de actividades de tratamiento, la realización de análisis de riesgos y evaluaciones de impacto, la definición de responsabilidad ante el tratamiento, la obtención de consentimiento y la notificación de brechas de seguridad.

Registro de actividades de tratamiento

Los centros educativos deben llevar en el centro un Registro de actividades de tratamiento con la siguiente información:

Nombre y datos de contacto del responsable y del delegado de protección de datos.

Los fines del tratamiento.

Una descripción de las categorías de interesados y de las categorías de datos personales.

Las categorías de destinatarios a quienes se comuniquen los datos personales.

Las transferencias de datos personales a un tercer país o una organización internacional.

Los plazos previstos para la supresión de las diferentes categorías de datos.

Una descripción general de las medidas técnicas y organizativas de seguridad.

Los centros educativos deberán realizar una auditoría LOPD para valorar el riesgo que suponga el tratamiento de datos que realicen o vayan a realizar (pérdida, destrucción o alteración por mero accidente o de forma ilícita o acceso no autorizado), con la finalidad de implantar las medidas de seguridad técnicas y organizativas necesarias.

Deben adoptar las medidas que, por defecto, garanticen que solo se tratarán los datos necesarios para la finalidad para la que se recogieron y que no estén accesibles a un número indeterminado de personas.

Según el RGPD, será obligatorio realizar una Evaluación de impacto en Protección de Datos en los siguientes casos:

Tratamiento a gran escala de datos sensibles (origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, biométricos, de salud y los relativos a la vida u orientación sexual).

Observación sistemática a gran escala de una zona de acceso público (videovigilancia).

Elaboración de perfiles sobre cuya base se tomen decisiones que produzcan efectos jurídicos sobre los interesados.

Responsable del tratamiento

Los centros educativos tienen la obligación de nombrar un Delegado de Protección de Datos que supervise el cumplimiento de la normativa y sirva de enlace con la Autoridad de Protección de Datos.

El consentimiento de los alumnos o de sus padres o tutores se deberá obtener de forma expresa. Es necesaria una clara acción afirmativa del interesado.

Cuando se refiera al tratamiento de datos sensibles o para transferencias internacionales de datos, el consentimiento además deberá ser expreso.

Notificación de brechas de seguridad

Si se produce destrucción, pérdida, alteración accidental o ilícita, comunicación o acceso no autorizado, lo que se denomina una "violación de seguridad", se habrá de notificar a la Agencia Española de Protección de Datos o a la Autoridad autonómica correspondiente y, en su caso, comunicar a los interesados.

Modelos y plantillas de ayuda

A continuación encontraréis varios modelos y plantillas que podéis descargar y editar según vuestras necesidades, para cumplir con la protección de datos personales para centros educativos públicos y privados.

Sanciones por incumplir

Las infracciones en materia de protección de datos pueden dar lugar a sanciones por parte de la Agencia Española de Protección de Datos (AEPD).

La cuantía de las multas depende de factores como la gravedad de la infracción (leves, graves o muy graves), el perjuicio ocasionado al menor o sus padres o tutores legales, la prolongación en el tiempo de la infracción o la voluntad por parte del centro educativo de erradicar la conducta ilícita.

¿Necesitas ayuda con la Ley de Protección de datos en tu centro educativo?

En esta guía para la protección de datos en centros educativos hemos querido darte información de interés para que conozcas las cuestiones básicas acerca del tratamiento de datos en centros docentes.

# data[].attributes.attachment_link.title
Protección de datos en centros educativos . Guía 2021 | AyudaLey Datos

# data[].attributes.attachment_link.description
En esa guía te explicamos cómo cumplir con la protección de datos en centros educativos. Descubre qué tipo de datos personales se pueden tratar en colegios y escuelas, qué obligaciones tienen los centros docentes o la información relativa a menores que se puede publicar.

# data[].attributes.body
Es una guía donde se muestra el correcto uso de los datos de los alumnos.

# data[].attributes.headline
Ley Orgánica 3/2014 de Protección de datos personales y garantía de los derechos personales. 

# data[].attributes.subject
Ley Orgánica 3/2014 de Protección de datos personales y garantía de los derechos personales. 

# data[].attributes.body
Interesante ver para tener en cuenta cómo afecta dentro del centro escolar.

# data[].attributes.headline
Cómo subir imágenes de los alumnos a redes

# data[].attributes.subject
Cómo subir imágenes de los alumnos a redes

# data[].attributes.body
Después de tener el permiso por escrito de los tutores legales de los niños, os muestro algunos consejos para proteger la seguridad de los alumnos.

# data[].attributes.headline
¿Cómo hay que gestionar las notas de los alumnos?

# data[].attributes.subject
¿Cómo hay que gestionar las notas de los alumnos?

# data[].attributes.body
Aquí os dejo un artículo donde nos explica cómo lo podemos hacer y que tenemos que tener en cuenta. No dudes en leerlo.

# data[].attributes.headline
¿Qué cambios se han producido en la protección de datos de los menores?

# data[].attributes.subject
¿Qué cambios se han producido en la protección de datos de los menores?

# data[].attributes.body
Infórmate sobre los cambios que se han producido en cuento a la protección de datos de menores.

# data[].attributes.attachment_link.readable_text
Cuando con motivo de nuestra actividad empresarial tengamos que tratar datos personales de menores, debemos hacerlo siempre teniendo en cuenta que se trata de un colectivo recogido dentro de los grupos vulnerables. Al cual el RGPD le otorga una protección específica.

Dentro de este colectivo, se plantean una serie de dudas en lo referente a la prestación del consentimiento. Quién debe otorgarlo, cuándo es válido que lo otorgue el menor de edad, cuándo deben prestarlo los representantes legales, quién debe verificarlo etc.

Además, en el caso de que seamos un centro educativo, vamos a tener que realizar este tratamiento de datos con la mayor diligencia posible y siguiendo la ley de protección de datos en centros educativos.

Vamos a repasar brevemente las preguntas más frecuentes que se dan en esta materia.

En este artículo hablamos de:

¿Se pueden recopilar datos de menores de edad conforme al RGPD?

Sí, se pueden recabar estos datos.

Pero hay que tener en cuenta que existen diferentes factores sobre los cuales hay que tener ciertas precauciones. Estos factores son:

el grado de madurez al que nos enfrentamos,

la capacidad que tienen para entender a lo que se exponen,

qué consecuencias puede acarrear el introducir sus datos personales en páginas web,

la capacidad para entender la información que se les brinda a la hora de recabar esos datos personales.

Los datos de los menores no se consideran datos sensibles según la RGPD pero se les da una especial protección en el considerando 38 del Reglamento Europeo 2016/679, donde así lo recoge:

"Los niños merecen una protección específica de sus datos personales, ya que pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos concernientes al tratamiento de datos personales. Dicha protección específica debe aplicarse en particular, a la utilización de datos personales de niños con fines de mercadotecnia o elaboración de perfiles de personalidad o de usuario, y a la obtención de datos personales relativos a niños cuando se utilicen servicios ofrecidos directamente a un niño. El consentimiento del titular de la patria potestad o tutela no debe ser necesario en el contexto de los servicios preventivos o de asesoramiento ofrecidos directamente a los niños."

Además, el Reglamento Europeo deja claro que el consentimiento de menores debe ser claro e inequívoco. Por tanto, la información debe estar redactada de forma que los menores puedan entenderla. Ya que, en caso contrario, el consentimiento no se estaría recabando de forma legítima conforme al nuevo Reglamento.

¿En qué ámbito se tratan estos datos?

Estos tratamientos tienen un perfil definido:

categoría de estudiantes por los centros docentes (es la forma más común),

categorías de consumidores (al adquirir productos o prestaciones de servicios),

categoría de ocio (videojuegos) y

categoría de salud.

¿Puedo tratar los datos de los mayores de 14 años? Cambios con el RGPD

Nuestra normativa nacional (Real Decreto 1720/2007), hasta el día 25 de mayo consideraba que la madurez se producía desde los 14 años en adelante. Por tanto, los menores de 18 años que tuviesen 14 años o más, podían consentir el tratamiento de sus datos sin necesidad de requerir el consentimiento de quien ejerza la patria potestad o su tutela.

Como bien decimos, esto era así hasta el pasado día 25 de mayo. Con la entrada en vigor del Reglamento europeo este límite de edad de consentimiento se ve afectado por el artículo 8 del mismo. Y se considera que serán legales los tratamientos de datos personales de aquéllos mayores de 16 años. El Reglamento deja abierto que sea la legislación nacional la que vaya a determinar esa edad mínima. Pero siempre y cuando no sea nunca inferior a los 13 años. Para adaptar la normativa nacional a la europea, en España la edad para poder dar el consentimiento por parte del menor se va a ver reducida de 14 a 13 años.

Se pueden tratar datos personales de los menores, pero el RGPD ha prohibido de forma expresa, que se obtengan datos de menores, por ejemplo en centros educativos, donde la protección de datos debe ser especialmente exigente, para evitar que se pueda conseguir información, por ejemplo, sobre su unidad familiar o datos sociológicos, económicos...

¿Quién debe darme el consentimiento?

Cuando el menor tenga 13 años podrá consentir el tratamiento de sus datos personales por sí mismo. En caso de que su edad sea inferior a los 13 años se debe consentir por parte de los progenitores. O por aquellas personas que ejerzan la tutela de los menores de edad.

El consentimiento siempre tiene que ser previo a la recogida de los datos del menor.

¿Quién debe verificar el consentimiento obtenido por los menores?

El responsable del tratamiento será el encargado de verificar que el consentimiento que se ha otorgado por parte de los padres o tutores, sea válido.

Para demostrar ese consentimiento por parte de la entidad responsable del tratamiento, lo aconsejable es recabarlos a través de documentos donde conste la autorización por parte del progenitor o del tutor. Y hacerlo en el momento en que se realice la matrícula o se contraten los servicios. Es decir, en el primer momento en que se vayan a recoger los datos personales del menor.

Debemos tener en cuenta, además, que en el caso de que vayamos a hacer uso de imágenes o vídeos en los que aparezcan los menores, hay que tener el consentimiento expreso y previo para ello.

¿Cómo tratar los datos de menores según el sector de actividad?

Ahora analizaré cómo deben tratarse lo datos de menores en diferentes sectores.

Protección de datos en la educación

La protección de datos en centros educativos es muy importante, ya que el tratamiento de datos suele ser en gran volumen (tratan datos del profesorado y de los alumnos). Y además los datos de los alumnos tienen una protección específica.

Los datos más comunes que se recogen de los menores de edad son los expedientes académicos. Así como datos de carácter sensible en lo que respecta a la salud. Por ejemplo, alergias o intolerancias a determinados alimentos, enfermedades crónicas o que se haya tenido que hacer uso del servicio médico del colegio. También en informes psicológicos que se tengan sobre el aprendizaje, capacidad o rendimiento de determinados alumnos.

Los centros educativos, conforme al nuevo Reglamento, son los responsables del tratamiento. Y son ellos quienes tienen que hacerse cargo de que todos los datos se recaben en la forma legalmente establecida. Así como de velar por el cumplimiento de la normativa adoptando las medidas de seguridad oportunas para ello.

Además, en los centros educativos no se recoge la prohibición de recogida de datos sobre el entorno del menor. Sobre todo en lo relativo a la situación familiar en la que se encuentren. Por ejemplo, si los padres se encuentran separados, el centro educativo deberá saber quién ejerce la patria potestad, todo lo relacionado con ella y qué personas pueden recoger a la salida del centro al menor.

Tratamiento de datos de menores en el sector sanitario

Si nos movemos profesionalmente dentro del ámbito sanitario o ejerciendo de forma autónoma cualquier profesión que suponga la recogida de datos de salud de pacientes, cuando estos pacientes sean menores de edad, debemos tener en cuenta la siguiente recomendación:

Para recabar y tratar los datos de los pacientes que sean menores de edad se requiere un consentimiento expreso del menor.

Para la obtención de este consentimiento debemos tener en cuenta el factor de la edad que hemos analizado en el punto anterior:

Si el paciente es mayor de 16 años, el menor podrá prestar el consentimiento por sí mismo. Y sería plenamente válido conforme al reglamento europeo.

En España, en caso de que el menor tenga más de 13 años el consentimiento sería correcto y de 13 años por debajo se debe recabar el consentimiento de los padres o tutores.

Por tanto, si tenemos un paciente menor de edad que tenga más de trece años, el consentimiento otorgado por el mismo nos serviría. En caso de que el paciente sea menor de trece años, el consentimiento debe ser prestado por aquellas personas que sean sus representantes legales.

¿Pueden los padres acceder al historial clínico de sus hijos?

Es importante tener en cuenta que los padres pueden tener acceso a la información sanitaria de sus hijos para que puedan velar por su salud en el ejercicio de la patria potestad. Teniendo como base jurídica el artículo 154 del Civil.

Esto quiere decir que los padres pueden tener acceso al historial clínico de su hijo. Cabe recalcar que solamente tendrán acceso a dicha información las personas que ejerzan la patria potestad sobre el menor. El acceso a la historia clínica también se puede realizar por el menor para los casos donde este tenga más de trece años. En caso de que se niegue el acceso a los padres a la historia clínica, estos pueden dirigirse a las autoridades correspondientes, bien sanitarias o bien judiciales.

Si nuestra actividad trata con este tipo de datos, tenemos una doble vertiente de datos sensibles. Ya que manejamos datos de salud y datos de menores. Por ello debemos tomar una serie de medidas de seguridad para proteger esos datos. Y estamos obligados a realizar una evaluación de impacto RGPD.

Tratamiento de datos de menores en cuanto a fotografías o grabación de vídeos

Aquí debemos distinguir:

Fotografías o vídeos realizados en el centro escolar

Si la actividad fotográfica incluye acudir a centros escolares a realizar reportajes fotográficos y/o grabaciones de vídeos relativas a funciones de navidad, obras de teatro, festivales, o actividades deportivas entre otras, debemos diferenciar dos supuestos:

evento organizado por el centro escolar y

si cumple o no con la función educativa.

En el caso de que no se encuentre recogido dentro de la función educativa, debemos tener en cuenta si el que va a realizar esas fotografías o esos vídeos va a ser el centro escolar. En ese caso, el centro escolar debe informar a los menores cuando tengan más de trece años. Y en caso de que fuesen menores se informará a los padres o tutores de que se van a tomar fotografías e imágenes de vídeo. Además se debe informar sobre:

finalidad que van a tener las grabaciones,

si se van a publicar y dónde.

Para esto se requiere consentimiento expreso.

Si por el contrario el festival, la actividad deportiva o el evento que vaya a celebrarse, está dentro de la función educativa, deberá informarse a los padres de que se va a proceder a la grabación y a la toma de fotografías. Esta información se debe realizar en el momento en que vamos a pedir la autorización de los padres para que el menor pueda participar.

Fotografías realizadas en estudios

Si nuestra actividad profesional se centra en un estudio de fotografía donde son los menores los que acuden al mismo para que les tomemos imágenes debemos tener claro los siguientes pasos:

En caso de que la edad del menor sea inferior a 13 años, cualquier consentimiento que nos firme no será válido. Este deberá ser otorgado por los padres del mismo.

Si tenemos intención de publicar en nuestra página web o en cualquier red social las imágenes que le vamos a tomar, debemos hacerlo siempre previo consentimiento del menor o sus padres.

Además, debemos informar de forma previa de qué personas o colectivos van a tener acceso a las imágenes.

Tratamiento de datos de menores en escuelas deportivas o campamentos

Si nuestra empresa se dedica al tiempo de ocio de los menores mediante actividades deportivas o a través de campamentos estamos en la mejor época. Ya que muchos padres escogen los campamentos como la mejor opción para que sus hijos disfruten del verano. Y nosotros como profesionales debemos estar al tanto con la normativa de protección de datos al tratar con datos sensibles.

Es importante recabar el consentimiento previo de los padres o tutores cuando sea necesario o del menor que tenga más de 13 años para que se traten sus datos, se puedan fotografiar y subir a páginas webs y redes sociales para publicarnos.

Lo más recomendable y cómodo es recabar estos consentimientos en el momento en que se realiza la matrícula.

Protección de datos en redes sociales y menores

Para que se realice el registro de los menores en las redes sociales se piden una serie de requisitos entre los que se debe registrar la edad. Siendo la red social la responsable del tratamiento RGPD.

Cada red social tiene sus propias normas y una edad mínima establecida aunque debemos atender a la normativa nacional de cada Estado.

Y para ello seguimos lo indicado en la nueva LOPDGDD. Se indica que los menores de 14 años no podrán estar registrados ya que el consentimiento que estos hayan prestado no será un consentimiento válido. Salvo que sean padres o tutores los que respalden dicho consentimiento.

Espero haberte ayudado a entender las modificaciones en el tratamiento de datos de menores.

Y, si necesitas asesoramiento personalizado, contacta con la oficina más cercana de Grupo Ático34.

# data[].attributes.attachment_link.title
Cambios en la protección de datos de los menores de edad

# data[].attributes.attachment_link.description
Cuando con motivo de nuestra actividad empresarial tengamos que tratar datos personales de menores, debemos hacerlo siempre teniendo en cuenta que se trata de un colectivo recogido dentro de los grupos vulnerables. Al cual el RGPD le otorga una protección específica. Dentro de este colectivo, se plantean una serie de dudas en lo referente a la prestación del consentimiento.

# data[].attributes.body
Vídeo explicativo sobre la ley de protección de datos y los consentimientos que hay que pedir a las familias para poder trabajar con los más pequeños.

# data[].attributes.headline
Artículo sobre la Ley de Protección de datos

# data[].attributes.subject
Artículo sobre la Ley de Protección de datos

# data[].attributes.body
Aquí encontramos la explicación sobre la ley de protección de datos de los alumnos y cómo hay que actuar dentro del centro en cuanto al tratamiento de toda la información.

# data[].attributes.attachment_link.readable_text
La Ley de protección de datos en los colegios y centros educativos no se circunscribe a una simple normativa. Afecta a varios aspectos muy distintos y a los sistemas de información del colegio, lo que quiere decir que es una cuestión bastante mas medular de lo que puede parecer.

Ley de Protección de datos de carácter personal (LOPD) fue aprobada en 1999 y la Agencia de protección de Datos (AEPD) es la autoridad estatal de control independiente, encargada de velar por el cumplimiento de la normativa, garantizando y tutelando el derecho fundamental a la protección de datos de carácter personal de los ciudadanos. Es importante saber que las imágenes se consideran datos protegidos en tanto en cuanto sirven para identificar a una persona física.

Los datos de carácter personal se dividen en tres categorías con sus correspondientes niveles de seguridad:

A: Datos personales básicos y generales, les corresponde un nivel de seguridad Básico

B: Datos personales de infracciones, agencia tributaria de morosidad, bancarios, seguridad social, personalidad, que les corresponde un Nivel de seguridad media

C: Datos de ideología, religión, afiliación sindical, vida sexual, policiales o violencia de género que les corresponde un Nivel de seguridad máximo

En este marco, las principales obligaciones que tienen que tener en cuenta un colegio para el cumplimiento de la Ley son las siguientes:

1.-La primera obligación será el registro del uno o varios ficheros en la Agencia de protección de datos. Como mínimo fichero de datos personales de alumnos, padres y personal del centro. Eso se puede hacer online a través de este formulario en la propia Agencia de Protección de Datos: https://sedeagpd.gob.es/sede-electronica-web/vistas/formNOTA/servicioNOTA.jsf

2.- En el proceso de matriculación, donde se recaban los datos, es fundamental informar a los padres del uso y existencia de esos ficheros y que estos den su autorización para los usos que se vayan a realizar (web del colegio, cesión a terceros para determinados usos,..etc.)

3.-Los ficheros de datos de menores de edad deben de contar con el consentimiento de progenitores o tutores legales sin que reciban un tratamiento especial por ser menores. Los datos académicos corresponden a un nivel de seguridad medio. Los mayores de 14 años pueden prestar ellos mismos el consentimiento para cierto tipo de datos. Por supuesto hay que otorgar de forma efectiva los derechos de acceso, rectificación u oposición de las personas físicas que soliciten este derecho.

4.- El régimen sancionador es fuerte, con lo que es muy importante para el colegio no incurrir en una infracción. Además la imagen del centro o de las personas puede tener graves perjuicios. Por tener unas cifras y saber de qué estamos hablando estas son las principales sanciones

Leves: entre 600 y 60.000€ aprox. Corresponden a no solicitar la inscripción del fichero, recopilar datos sin informar previamente, no atender a los derechos de rectificación o cancelación ni a los requerimientos de la Agencia de Protección de datos

Graves: de 60.000 a 300.000 aprox. Corresponden a no inscribir el fichero, no tener consentimiento para recabar datos, utilizarlos para otra función, no permitir acceso, rectificación, no seguir las garantías de la AEPD, mantener ficheros sin garantía de seguridad

Muy graves: de 300.000 a 600.000. Crear ficheros de datos especialmente protegidos, recogida de datos engañosa, comunicación de datos, tratamiento ilegitimo, transferencia de datos a países que no cumplen normativa o no atender sistemáticamente los requerimientos de la AEPD

La custodia de los datos, a través de unas adecuadas medidas de seguridad, resulta fundamental ya que una filtración de datos podría originar actuaciones de oficio contra el centro como ha ocurrido en alguna ocasión.

5- Todo colegio o centro educativo tiene que tener redactado el Documento de Seguridad.

Este es un documento interno que recoge todas las normas, procedimientos de seguridad, medidas y reglas encaminadas a garantizar la seguridad de los datos y debe de estar elaborado por el responsable del fichero y encargado del tratamiento de los datos. Igualmente debe de informarse a todo el personal y es de obligado cumplimiento por este. Como mínimo debe de comprender detalles de recursos protegidos, medidos de seguridad, normas y procedimientos, funcionales y obligaciones del personal, estructura de los ficheros, procedimientos de notificación y gestión ante incidencias

Para los niveles medios y altos se exige además un responsable de seguridad y medidas para revisión periódica.

Aquí se puede ver una guía de documento de seguridad:
https://www.agpd.es/portalwebAGPD/canalresponsable/guia_documento/index-ides-idphp.php
Entre los aspectos más importantes del documento de seguridad, esta que la validación de usuarios debe de ser personal e inequívoca, debe de existir un registro de acceso y cada usuario solo debe de acceder a los datos que son necesarios para el desempeño de su puesto. Estas son características que vienen dadas por el programa o plataforma de gestión del colegio.

6.- Medidas de seguridad adecuadas y ubicación de los datos: El documento de seguridad lleva implícito una serie de medidas de seguridad. En el caso de que los datos se hallen en la Nube el colegio tendrá que asegurarse que los datos se hallan en España o en la Unión Europea (y no bastara que el fabricante del software este en España o un Pais de legislación perecida, es decir, Unión Europea. Algunas plataformas pueden usar Google u Amazon que normalmente no garantizan que sus datos estén en la Unión Europea.

Es importante considerar que una plataforma online simplifica mucho el cumplimiento de la Ley de Protección de datos, ya que incluye las medidas de seguridad, tratamiento de copias, acceso jerarquizado, registro de acceso. Resulta fundamental en estos casos que incluya protocolo seguro lo que significa que la información está cifrada. En este sentido la AEPD da su respaldo a Microsoft, reconociendo la solvencia y las garantías de los servicios corporativos de Microsoft en la Nube en lo relativo a transferencias internacionales de datos. Igualmente la AEPD afirma que los contratos de Microsoft ofrecen garantías adecuadas para que los clientes confíen sus datos personales a la compañía en el marco de los servicios corporativos de Office 365, Dynamics CRM Online y Microsoft Azure. Microsoft es el primer y único proveedor que recibe este reconocimiento de la Agencia de Protección de Datos: http://www.agpd.es/portalwebAGPD/resoluciones/autorizacion_transf/auto_transf_2014/common/pdfs/TI-00032-2014_Resolucion-de-fecha-09-05-2014_de-MICROSOFT-CORPORATION_a-Estados-Unidos.pdf
https://news.microsoft.com/es-es/2014/06/06/aepd-servicios-cloud-microsoft/#sm.00110oxtl17i4d6zsqd13of55csw7
7.- Los sistemas de vídeo vigilancia no deben de grabar fuera del recinto del colegio y estar debidamente identificadas las cámaras. También tienes que estar identificados e informados los sistemas de control laboral o control de acceso general al centro o a determinados recintos (como comedor) a través de huella digital.

# data[].attributes.attachment_link.title
La Ley de protección de datos y los sistemas de información en los colegios -

# data[].attributes.attachment_link.description
La Ley de protección de datos en los colegios y centros educativos no se circunscribe a una simple normativa. Afecta a varios aspectos muy distintos y a los sistemas de información del colegio, lo que quiere decir que es una cuestión bastante mas medular de lo que puede parecer.

# data[].attributes.headline
Como compartimos los trabajos, documentos...de los alumnos. 

# data[].attributes.subject
Como compartimos los trabajos, documentos...de los alumnos. 

# data[].attributes.body
Para ello debemos tenemos la autorización de los padres, o tutores legales, y después debemos evitar el uso de los nombres completos siempre que se publique en internet, para ello podemos usar el DNI de los alumnos o el número que tienen en clase.

# data[].attributes.headline
Plataformas para tratar los datos en el centro 

# data[].attributes.subject
Plataformas para tratar los datos en el centro 

# data[].attributes.body
Aquí vemos la importancia de las TIC para trabajar con los datos de los alumnos.