# data[].attributes.attachment_link.readable_text
0:00 / 2:32•Watch full video

# data[].attributes.attachment_link.authors[].name
Superintendencia de Industria y Comercio

# data[].attributes.attachment_link.title
Niños... ¡La SIC les enseña a cuidar sus datos personales!

# data[].attributes.attachment_link.title
LA LEY DE PROTECCION DE DATOS PERSONALES ¿QUE RESPONSABILIDAD TIENE EL COLEGIO?

# data[].attributes.attachment_link.title
Protección de datos en centros educativos . Guía 2021 | AyudaLey Datos

# data[].attributes.attachment_link.description
¿Cómo cumplir con la protección de datos en centros educativos? En esta guía te damos toda la información que necesitas para adaptarte al RGPD y la LOPDGDD.

# data[].attributes.headline
Protección de datos en centros educativos

# data[].attributes.subject
Protección de datos en centros educativos

# data[].attributes.attachment_link.readable_text
¿Deben cumplir la Ley de Protección de Datos los centros educativos? ¿Cómo deben adaptarse a la normativa? ¿Qué tipo de datos personales manejan los centros educativos? ¿Quién es el responsable del tratamiento? ¿Deben designar un Delegado de Protección de Datos?

En esta guía de protección de datos para centros educativos daremos respuesta a estas y otras preguntas relacionadas con la materia.

En este artículo hablamos de:

¿Están obligados a cumplir la Ley de Protección de Datos los centros educativos?

Cumplir con la Ley de Protección de Datos en centros educativos es una obligación ineludible, dado el volumen de datos que estos tratan, desde los del alumnado hasta el de sus empleados, además de tratar datos de menores de edad, estos centros también pueden llegar a tratar datos de categorías especiales (como los de la salud).

Además, adaptar la normativa de protección de datos en centros educativos entraña, en muchos casos, cumplir con unas obligaciones más estrictas, puesto que cuando hablamos de colegios, institutos y academias, hablamos de tratar datos de menores de edad, de sus padres o tutores y, como decíamos, de los propios empleados del centro.

Así mismo, la normativa de protección de datos también debe tener en cuenta respecto a la publicación de notas, el acceso a las calificaciones por parte de los padres de alumnos mayores edad, el uso de imágenes de alumnos en la página web o redes sociales del centro, cuándo un profesor puede grabar a sus alumnos durante una actividad, etc.

Solicita INFO sobre cómo cumplir la ley de protección de datos en centros educativos.

Normativa de protección de datos para centros educativos

La normativa de protección de datos para centros educativos la tenemos en:

El RGPD (Reglamento General de Protección de Datos, que es el marco regulatorio europeo, vigente desde 2016 y que introdujo varias novedades respecto a la protección de datos, entre ellas, el consentimiento expreso, el registro de actividades de tratamiento o la figura del Delegado de Protección de Datos (DPO).

La LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales), es la ley española de protección de datos, con la que se adaptó al ordenamiento jurídico español el RGPD. Vigente desde 2018, cumplirla implica cumplir el RGPD, puesto que contempla básicamente las mismas obligaciones, infracciones y sanciones.

Ley de Educación.

Guía para la protección de datos en centros educativos

Para adaptar la Ley de Protección de Datos en centros educativos, estos deben cumplir con una serie de obligaciones y requisitos establecidos en la normativa, siempre teniendo en cuenta el tipo de datos personales que se tratan en los centros y la finalidad de los tratamientos, que siempre deberá estar relacionada con la función docente y orientadora.

¿Quién es el responsable de la protección de datos en centros educativos?

Quién asume el papel del responsable de la protección de datos en los centros educativos, es decir, quién es el responsable del tratamiento, depende de si el centro es público o privado.

Así, cuando el centro educativo es público, el responsable del tratamiento será la Administración pública correspondiente (la Consejería de la Comunidad Autónoma competente en materia educativa, con excepción de Ceuta y Melilla y los centros fuera de España bajo titularidad del Estado, que dependerán del Ministerio de Educación).

En el caso de los centros concertados o privados, el responsable del tratamiento será el propio centro.

¿Qué tipos de datos tratan los centros educativos?

Como ya dijimos al comienzo de esta guía de protección de datos en centros educativos, estos tratan un gran volumen de datos personales, pero ¿cuáles exactamente?

Por un lado, los centros educativos van a tratar datos identificativos de alumnos, padres o tutores de alumnos y empleados: nombre, apellidos, domicilio, teléfono, DNI, email, etc.

Por tro lado, la Ley de Educación también legitima a los centros educativos a recabar datos de carácter personal para la ayuda a la función docente y orientadora de los alumnos. De manera que también tratarán los siguientes datos:

Origen y ambiente familiar y social: Con esto nos referimos a toda la información sobre la situación familiar de los alumnos. Un centro escolar puede recoger información relativa tanto a los alumnos como a los padres. El caso de los padres es relevante, ya que si, por ejemplo, están divorciados, el centro debe saber quién ostenta la patria potestad para la recogida de los menores.

Características o condiciones personales del menor: Aquí encontramos los llamados datos sensibles, en cuanto sean necesarios para la función educativa. En este caso hay diferentes momentos en que se pueden recabar datos sensibles del menor, entre los que destacamos:

En la matriculación del alumno:

Discapacidades

Enfermedades crónicas

TDAH

Intolerancias alimentarias

Alergias

Durante el curso escolar:

Tratamiento médico que reciba un alumno a través del servicio médico o de enfermería del centro

Informes de centros sanitarios a los que se le haya trasladado como consecuencia de accidentes o indisposiciones sufridas en el centro

Informes de los equipos de orientación psicopedagógica

Desarrollo y resultados de su escolarización: Se trata de datos e información relacionada con el rendimiento escolar, como, por ejemplo, las notas de cada uno de los alumnos, así como las asignaturas que ellos mismos hayan podido escoger.

Circunstancias cuyo conocimiento sea necesario para educar y orientar a los alumnos: Este punto nos enlaza con los dos primeros, ya que será necesario el conocimiento de la situación familiar y personal del alumno para su buen desarrollo educativo. Por ejemplo, conocer la situación socioeconómica de una familia puede ayudar a determinar si un alumno necesita más o menos apoyo en determinadas áreas o acceso a material escolar.

Datos ajustados a la finalidad: Como ocurre en otros ámbitos, uno de los requisitos de la ley de protección de datos en centros educativos es no recabar datos personales que sean excesivos para la finalidad para la que son recogidos. Por ejemplo, en el caso de las solicitudes de plaza en un centro de enseñanza, no es necesario recabar los datos bancarios para el pago de actividades extraescolares hasta que no se hubiera resuelto el proceso y fuese admitido el alumno.

Recogida de datos personales: Legitimación y consentimiento expreso

De acuerdo a la normativa de protección de datos, los centros educativos están legitimados para el tratamiento de datos personales para dar cumplimiento, como hemos dicho, a la función docente y orientadora. En estos casos, el consentimiento expreso para el tratamiento de datos no será necesario, pero sí deberá informar a los interesados (alumnos, padres o tutores y empleados) de la realización de dicho tratamiento.

Cuando sea necesario llevar un tratamiento de datos que no esté legitimado por esa finalidad, será necesario recabar el consentimiento expreso de los interesados. También deberá recabarse este consentimiento expreso cuando se traten categorías de datos especiales o sensibles (origen racial, relativos a la salud y a la vida sexual, ideología, religión o creencias o afiliación sindical), además, deberá recogerse por escrito.

Los alumnos mayores de 14 años podrán prestar su consentimiento ellos mismos, mientras que para los menores de 14 años deberá recabarse el consentimiento de padres o tutores legales.

Como el consentimiento debe quedar registrado, lo habitual es recurrir a incluir la correspondiente cláusula en el mismo impreso o formulario en el que se van a recabar los datos (por ejemplo, en el formulario de matriculación), usando casillas para marcar el otorgamiento del consentimiento o mediante la firma.

El consentimiento ha de ser inequívoco y específico, correspondiendo al centro o a la Administración educativa acreditar su existencia.

En cuanto a los profesores, más allá de cuando los profesores recogen datos personales de los alumnos en el ejercicio de sus funciones administrativas, también estarán legitimados para recoger datos personales de los alumnos directamente en el desempeño de sus labores docentes, por ejemplo, para evaluar ejercicios, dentro de las instrucciones o protocolos internos al respecto del centro.

La protección de datos en centros educativos requiere cumplir con el deber de informar a los interesados (alumnos, padres o tutores legales y empleados del centro) de todo lo relativo al tratamiento de sus datos, en concreto se informará sobre:

El tratamiento de datos

La identidad del responsable del tratamiento, del Delegado de Protección de Datos (DPO) y del encargado o encargados del tratamiento

La finalidad del tratamiento

El plazo de conservación de los datos

Si los datos serán cedidos a terceros (identificando a los mismos)

Si se producirán transferencias internacionales de datos y las garantías de las mismas

La vía para ejercer los derechos ARSULIPO (acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición)

Registro de actividades de tratamiento

Dado el volumen y las categorías de datos que manejan los centros educativos, el responsable del tratamiento está obligado a llevar un registro de actividades de tratamiento, de manera que por cada tratamiento de datos personales que se haga en el centro (listado de alumnos, nóminas de profesores, cámaras de seguridad, información referente a la salud, etc.), se deberá realizar el correspondiente registro de actividades de tratamiento, que recogerá la siguiente información:

Datos identificativos del responsable del tratamiento, del encargado o encargados del tratamiento y del DPO

La finalidad del tratamiento

La base legitimadora del tratamiento

Las categorías de datos e interesados afectados

Las categorías de destinatarios de los datos existentes o previstos

Las transferencias internacionales de datos (si procede)

El plazo de conservación de los datos

Descripción general de las medidas técnicas y organizativas de seguridad

Análisis de riesgos y evaluación de impacto

Una de las principales obligaciones en materia de protección de datos para centros educativos es llevar a cabo análisis de riesgos y, cuando sea necesario, la evaluación de impacto en protección de datos (EIPD).

Con carácter previo a cualquier tratamiento de datos, el centro realizará un análisis de riesgos, para determinar la posibilidad de que dicho riesgo se materialice y cómo afectaría a los interesados. Este análisis, además, se empleará para diseñar e implementar las medidas de seguridad necesarias para minimizar las probabilidades de materialización del riesgo y para reducir su impacto, si al final ocurre.

Hablamos aquí de riesgos que pongan en peligro la integridad, disponibilidad, fiabilidad y confidencialidad de los datos, tanto físicos como digitales, accidentales o intencionados.

La EIPD se deberá realizar cuando el tratamiento de datos personales afecte a datos sensibles y cuando del análisis de riesgos se determine que un nivel de riesgo alto para los derechos y libertades de los interesados, en caso de materializarse un riesgo o amenaza. La EIPD es un análisis de riesgos más en profundidad y centrado en ese impacto sobre la vida de los interesados.

Las conclusiones del análisis de riesgos y de la EIPD servirán a los centros educativos para diseñar e implementar las medidas técnicas y organizativas necesarias para garantizar la seguridad, integridad, disponibilidad y confidencialidad de los datos personales que manejan. Estas medidas deben impedir el acceso de terceros no autorizados a los datos personales del centro, evitar su pérdida o destrucción o su filtración.

Cesión de datos a terceros

Cuando los centros educativos, para cumplir con algunas de sus funciones, deben contratar los servicios de terceros externos a los mismos (por ejemplo, servicio de comedor, servicio médico, de transporte, etc.) y estos tienen acceso a los datos personales de alumnos, padres o tutores y empleados del centro, se deberá firmar con ellos un contrato de encargo del tratamiento.

Este contrato debe recoger:

La obligación de tratar solo los datos personales cedidos por el responsable del tratamiento.

Que los datos no se utilizarán con finalidades diferentes a las previstas en el contrato, ni se comunicarán a otros.

Las medidas de seguridad implementadas o que debe implementar el encargado del tratamiento.

Qué se hará con los datos una vez cumplida la finalidad del tratamiento o el plazo de conservación.

Cabe señalar que no se considerarán encargados del tratamiento a las personas físicas que tengan acceso a los datos personales de alumnos, padres o tutores y empleados en su condición de empleados del centro o de la Administración educativa responsables del tratamiento (por ejemplo, los profesores que pueden acceder a los datos de sus alumnos no son encargados del tratamiento).

Deber de confidencialidad

Todo el personal del centro educativo que haya tenido acceso a datos personales tiene el deber de guardar secreto sobre los mismos, no publicarlos, difundirlos o filtrarlos, bien por intereses personales o en beneficio de terceros o bien de manera accidental. Este deber se prolongará una vez finalizada la relación contractual con el centro.

Para asegurar el cumplimiento del deber de confidencialidad, se puede recurrir a la inclusión de una cláusula de confidencialidad en el contrato de los empleados, en la que, además, se explicarán las consecuencias de no cumplir con este deber.

Puesto que hay determinados casos en que los datos personales de alumnos y exalumnos, así como de empleados y exempleados del centro educativo deben conservarse, incluso cuando se haya cumplido la finalidad para la que fueron recabados, se deberá proceder al bloqueo de dichos datos, de manera que no serán eliminados, pero no podrán usarse o accederse a ellos, salvo que así lo requiera una administración pública o las autoridades judiciales en el ejercicio de sus funciones.

Designación de Delegado de Protección de Datos

Con independencia de si son centros educativos públicos o privados, estos están obligados a designar o contratar un DPO, que se ocupará, entre otras funciones, de supervisar el cumplimiento de la normativa, asesorar al responsable del tratamiento y actuar como enlace entre la AEPD y el propio centro.

Esta obligatoriedad del delegado de protección de datos puede cumplirse designando un empleado del centro como tal o contratando los servicios de un DPO externo, por ejemplo, a través de una consultoría externa especializada en protección de datos.

Notificación de brechas de seguridad

En el caso de que se produzca un incidente de seguridad que dejé al descubierto o provoque la filtración de los datos personales de alumnos, padres o tutores o personal del centro educativo y pueda suponer un riesgo para sus derechos y libertades, este deberá informar, en un plazo no superior a 72 horas, a la AEPD y a los propios interesados cuyos datos se hayan visto afectados.

Otras consideraciones sobre protección de datos en centros educativos

Esta guía de protección de datos en centros educativos no estaría completa si, aparte de las obligaciones y requisitos que hemos visto que deben cumplir en materia de protección de datos los centros educativos, no mencionáramos las siguientes consideraciones, relacionadas con cómo y dónde pueden los centros educativos o su personal publicar datos personales.

¿Qué tipo de datos pueden publicar los centros educativos?

De acuerdo a la Ley de Protección de Datos, los centros educativos pueden publicar los siguientes datos personales:
- Listas de admitidos:
Se puede publicar la lista de alumnos admitidos siempre y cuando se haga de una manera que no suponga un acceso indiscriminado la información:

Publicación en tablones dentro del centro.

A través de una página web de acceso restringido.

Esta publicación deberá recoger solo el resultado final del baremo, no resultados parciales que puedan responder a datos o información sensible o poner de manifiesto la capacidad económica de la familia.

Esta información, no obstante, estará disponible para los interesados que ejerzan su derecho a reclamar.
- Notas de alumnos:
A diferencia de lo que ocurre en la educación universitaria, la publicación de notas en los centros educativos no está regulada y, por lo tanto, es un tema en el que es habitual que surjan dudas.

Para resolver estas dudas, la guía de protección de datos en centros educativos de la AEPD nos da algunas directrices, que resumimos a continuación:

Como norma general, las notas de los alumnos solo se deben facilitar a los propios alumnos y sus padres, evitando su exposición pública en tablones de anuncios o comunicándolas de forma oral en la clase.

Si las notas se comunican a través de una plataforma digital, estas solo deberían ser accesibles para los propios alumnos, sus padres o tutores.

En el caso de que el alumno fuese mayor de edad, los padres podrán solicitar el acceso a las notas cuando estos corran con los gastos educativos o de alimentos (en el caso de padres separados), ya que se considera que existe un interés legítimo de los padres derivado del mantenimiento de sus hijos mayores de edad.

- Beneficiarios de becas:
En estos casos hay que poner en valor dos situaciones:

Si la beca está fundada en una situación de discapacidad de los beneficiarios.

Si la beca puede afectar a la esfera íntima del afectado.

En estos casos, se podrá publicar solamente mediante el número identificador de la solicitud que solo el afectado conoce.
- Imágenes y videos:
Es habitual que los centros docentes, con motivo de eventos o celebraciones, recojan imágenes de alumnos, profesores y familiares. Pero ¿qué dice la ley de protección de datos en centros educativos respecto a la captación y publicación de imágenes en estas situaciones? Hay diferentes casuísticas que debemos tener en cuenta.

Primero, señalar que cuando el consentimiento para la captación y publicación de imágenes sea necesario, los alumnos mayores de 14 años podrán darlo ellos mismos, mientras que para los menores de 14 años, será necesario que el consentimiento lo den sus padres o tutores legales.

Así, cuando las imágenes o vídeos se capten con fines educativos, como pueden ser trabajos o evaluaciones, no será necesario recabar el consentimiento. Sí lo será cuando esas imágenes vayan a ser publicadas en la web del centro.

Los profesores podrán grabar a sus alumnos siempre y cuando la finalidad esté relacionada con la actividad docente y dichas imágenes solo estén accesibles para los propios alumnos, sus padres o tutores legales, aparte del propio profesor.

Si las imágenes las captan padres o tutores legales u otros familiares en el desarrollo de un evento escolar, al tratarse de un uso doméstico, la normativa de protección de datos no es de aplicación.

¿Dónde y cómo publicar los datos personales?

¿Dónde se pueden publicar datos personales y cómo hacerlo de acuerdo a la normativa de protección de datos para centros educativos?
- Tablón de anuncios:
Se pueden publicar listas de admitidos, notas y cualquier otra información similar en los tablones de anuncios de centro, cuando esta información deba estar disponible de forma pública. Si bien, esta publicación debe realizarse de manera proporcionada, es decir, sin que suponga un acceso indiscriminado a la misma (los tablones deben estar en el interior del centro o una web de acceso restringido) y solo deberá recoger el resultado final del baremo o contener ningún dato relativo a la situación particular de cada familia.

Una vez que ya no sean necesarios, estos listados se deberán retirar de los tablones.
- Página web y redes sociales:
Es habitual que la web de un centro educativo cuente con información referida a las actividades que desarrolla y los servicios que ofrece.

Debido a esto, en algunas ocasiones incluyen información que contiene datos de carácter personal de empleados del centro y los alumnos, por lo que se deben considerar y aplicar las obligaciones de la ley de protección de datos en centros educativos, en especial en lo que se refiere al consentimiento de los interesados.

Así mismo, si se van a subir fotografías o vídeos a la web del centro o las redes sociales, será necesario recabar el consentimiento expreso de los interesados (alumnos, padres o tutores legales, profesores y cualquier otro personal del centro). Además, se les proveerá de la siguiente información:

Datos que se van a publicar.

Redes sociales en las que se van a utilizar.

Finalidad de uso.

Quién puede acceder a los datos.

Plazo durante el que se van a conservar las imágenes, así como los criterios para su eliminación.

En el caso de que un profesor quiera usar las imágenes en su blog personal, al margen de la función de docencia, deberán siempre solicitar el consentimiento expreso de alumnos o padres o tutores legales, siendo el profesor el responsable del tratamiento.
- Otros medios:
Si en el centro se han instalado cámaras de videovigilancia, esta instalación debe responder a un interés legítimo del centro en mantener la seguridad e integridad de las personas e instalación. Y deberá tener en cuenta lo siguiente:

Su colocación debe ser proporcional, es decir, que la finalidad perseguida no se pueda conseguir por otros medios menos intrusivos y que la instalación de cámaras de seguridad ofrezca más beneficios que perjuicios (por ejemplo, velar por la seguridad física o psicológica de los menores).

Informar de su existencia mediante el distintivo correspondiente, donde debe figurar la información que exige la normativa de protección de datos.

No podrán colocarse nunca en zonas íntimas o donde se espere privacidad, como aseos o vestuarios.

Sanciones por no cumplir la normativa de protección de datos en centros educativos

No cumplir con la normativa de protección de datos en centros educativos es motivo de sanción. La cuantía de estas sanciones se determina con relación a la gravedad de las mismas, de acuerdo con las infracciones recogidas en la LOPDGDD y en el RGPD, de manera que:

Las infracciones leves (art. 74 de la LOPDGDD) están sancionadas con hasta 40.000 euros.

Las infracciones graves (art. 73 de la LOPDGDD) están sancionadas desde 40.001 a 300.00 euros.

Las infracciones muy graves (art. 72 de la LOPDGDD) están sancionadas desde 300.001 a 20 millones de euros (o el 4% del volumen de facturación, la cuantía que resulte superior).

¿Necesitas ayuda con la Ley de Protección de Datos en tu centro educativo?

Si después de leer esta guía de protección de datos en centros educativos aún tienes dudas o necesitas ayuda para su correcta aplicación, no dudes en ponerte en contacto con Grupo Atico34, nuestro equipo de profesionales expertos en protección de datos te ayudarán y asesorarán en todo cuanto necesites.

# data[].attributes.attachment_link.title
Protección de datos en centros educativos. Guía 2023 | Grupo Atico34

# data[].attributes.attachment_link.description
Guía para aplicar la ley de protección de datos en centros educativos. ¿Qué obligaciones RGPD y LOPDGDD se deben cumplir? ✅

# data[].attributes.headline
Cambios en la protección de datos en menores

# data[].attributes.subject
Cambios en la protección de datos en menores

# data[].attributes.attachment_link.readable_text
Cuando con motivo de nuestra actividad empresarial tengamos que tratar datos personales de menores, debemos hacerlo siempre teniendo en cuenta que se trata de un colectivo recogido dentro de los grupos vulnerables. Al cual el RGPD le otorga una protección específica.

Dentro de este colectivo, se plantean una serie de dudas en lo referente a la prestación del consentimiento. Quién debe otorgarlo, cuándo es válido que lo otorgue el menor de edad, cuándo deben prestarlo los representantes legales, quién debe verificarlo etc.

Además, en el caso de que seamos un centro educativo, vamos a tener que realizar este tratamiento de datos con la mayor diligencia posible y siguiendo la ley de protección de datos en centros educativos.

Vamos a repasar brevemente las preguntas más frecuentes que se dan en esta materia.

En este artículo hablamos de:

¿Se pueden recopilar datos de menores de edad conforme al RGPD?

Sí, se pueden recabar estos datos.

Pero hay que tener en cuenta que existen diferentes factores sobre los cuales hay que tener ciertas precauciones. Estos factores son:

el grado de madurez al que nos enfrentamos,

la capacidad que tienen para entender a lo que se exponen,

qué consecuencias puede acarrear el introducir sus datos personales en páginas web,

la capacidad para entender la información que se les brinda a la hora de recabar esos datos personales.

Los datos de los menores no se consideran datos sensibles según la RGPD pero se les da una especial protección en el considerando 38 del Reglamento Europeo 2016/679, donde así lo recoge:

"Los niños merecen una protección específica de sus datos personales, ya que pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos concernientes al tratamiento de datos personales. Dicha protección específica debe aplicarse en particular, a la utilización de datos personales de niños con fines de mercadotecnia o elaboración de perfiles de personalidad o de usuario, y a la obtención de datos personales relativos a niños cuando se utilicen servicios ofrecidos directamente a un niño. El consentimiento del titular de la patria potestad o tutela no debe ser necesario en el contexto de los servicios preventivos o de asesoramiento ofrecidos directamente a los niños."

Además, el Reglamento Europeo deja claro que el consentimiento de menores debe ser claro e inequívoco. Por tanto, la información debe estar redactada de forma que los menores puedan entenderla. Ya que, en caso contrario, el consentimiento no se estaría recabando de forma legítima conforme al nuevo Reglamento.

¿En qué ámbito se tratan estos datos?

Estos tratamientos tienen un perfil definido:

categoría de estudiantes por los centros docentes (es la forma más común),

categorías de consumidores (al adquirir productos o prestaciones de servicios),

categoría de ocio (videojuegos) y

categoría de salud.

¿Puedo tratar los datos de los mayores de 14 años? Cambios con el RGPD

Nuestra normativa nacional (Real Decreto 1720/2007), hasta el día 25 de mayo consideraba que la madurez se producía desde los 14 años en adelante. Por tanto, los menores de 18 años que tuviesen 14 años o más, podían consentir el tratamiento de sus datos sin necesidad de requerir el consentimiento de quien ejerza la patria potestad o su tutela.

Como bien decimos, esto era así hasta el pasado día 25 de mayo. Con la entrada en vigor del Reglamento europeo este límite de edad de consentimiento se ve afectado por el artículo 8 del mismo. Y se considera que serán legales los tratamientos de datos personales de aquéllos mayores de 16 años. El Reglamento deja abierto que sea la legislación nacional la que vaya a determinar esa edad mínima. Pero siempre y cuando no sea nunca inferior a los 13 años. Para adaptar la normativa nacional a la europea, en España la edad para poder dar el consentimiento por parte del menor se va a ver reducida de 14 a 13 años.

Se pueden tratar datos personales de los menores, pero el RGPD ha prohibido de forma expresa, que se obtengan datos de menores, por ejemplo en centros educativos, donde la protección de datos debe ser especialmente exigente, para evitar que se pueda conseguir información, por ejemplo, sobre su unidad familiar o datos sociológicos, económicos...

¿Quién debe darme el consentimiento?

Cuando el menor tenga 13 años podrá consentir el tratamiento de sus datos personales por sí mismo. En caso de que su edad sea inferior a los 13 años se debe consentir por parte de los progenitores. O por aquellas personas que ejerzan la tutela de los menores de edad.

El consentimiento siempre tiene que ser previo a la recogida de los datos del menor.

¿Quién debe verificar el consentimiento obtenido por los menores?

El responsable del tratamiento será el encargado de verificar que el consentimiento que se ha otorgado por parte de los padres o tutores, sea válido.

Para demostrar ese consentimiento por parte de la entidad responsable del tratamiento, lo aconsejable es recabarlos a través de documentos donde conste la autorización por parte del progenitor o del tutor. Y hacerlo en el momento en que se realice la matrícula o se contraten los servicios. Es decir, en el primer momento en que se vayan a recoger los datos personales del menor.

Debemos tener en cuenta, además, que en el caso de que vayamos a hacer uso de imágenes o vídeos en los que aparezcan los menores, hay que tener el consentimiento expreso y previo para ello.

¿Cómo tratar los datos de menores según el sector de actividad?

Ahora analizaré cómo deben tratarse lo datos de menores en diferentes sectores.

Protección de datos en la educación

La protección de datos en centros educativos es muy importante, ya que el tratamiento de datos suele ser en gran volumen (tratan datos del profesorado y de los alumnos). Y además los datos de los alumnos tienen una protección específica.

Los datos más comunes que se recogen de los menores de edad son los expedientes académicos. Así como datos de carácter sensible en lo que respecta a la salud. Por ejemplo, alergias o intolerancias a determinados alimentos, enfermedades crónicas o que se haya tenido que hacer uso del servicio médico del colegio. También en informes psicológicos que se tengan sobre el aprendizaje, capacidad o rendimiento de determinados alumnos.

Los centros educativos, conforme al nuevo Reglamento, son los responsables del tratamiento. Y son ellos quienes tienen que hacerse cargo de que todos los datos se recaben en la forma legalmente establecida. Así como de velar por el cumplimiento de la normativa adoptando las medidas de seguridad oportunas para ello.

Además, en los centros educativos no se recoge la prohibición de recogida de datos sobre el entorno del menor. Sobre todo en lo relativo a la situación familiar en la que se encuentren. Por ejemplo, si los padres se encuentran separados, el centro educativo deberá saber quién ejerce la patria potestad, todo lo relacionado con ella y qué personas pueden recoger a la salida del centro al menor.

Tratamiento de datos de menores en el sector sanitario

Si nos movemos profesionalmente dentro del ámbito sanitario o ejerciendo de forma autónoma cualquier profesión que suponga la recogida de datos de salud de pacientes, cuando estos pacientes sean menores de edad, debemos tener en cuenta la siguiente recomendación:

Para recabar y tratar los datos de los pacientes que sean menores de edad se requiere un consentimiento expreso del menor.

Para la obtención de este consentimiento debemos tener en cuenta el factor de la edad que hemos analizado en el punto anterior:

Si el paciente es mayor de 16 años, el menor podrá prestar el consentimiento por sí mismo. Y sería plenamente válido conforme al reglamento europeo.

En España, en caso de que el menor tenga más de 13 años el consentimiento sería correcto y de 13 años por debajo se debe recabar el consentimiento de los padres o tutores.

Por tanto, si tenemos un paciente menor de edad que tenga más de trece años, el consentimiento otorgado por el mismo nos serviría. En caso de que el paciente sea menor de trece años, el consentimiento debe ser prestado por aquellas personas que sean sus representantes legales.

¿Pueden los padres acceder al historial clínico de sus hijos?

Es importante tener en cuenta que los padres pueden tener acceso a la información sanitaria de sus hijos para que puedan velar por su salud en el ejercicio de la patria potestad. Teniendo como base jurídica el artículo 154 del Civil.

Esto quiere decir que los padres pueden tener acceso al historial clínico de su hijo. Cabe recalcar que solamente tendrán acceso a dicha información las personas que ejerzan la patria potestad sobre el menor. El acceso a la historia clínica también se puede realizar por el menor para los casos donde este tenga más de trece años. En caso de que se niegue el acceso a los padres a la historia clínica, estos pueden dirigirse a las autoridades correspondientes, bien sanitarias o bien judiciales.

Si nuestra actividad trata con este tipo de datos, tenemos una doble vertiente de datos sensibles. Ya que manejamos datos de salud y datos de menores. Por ello debemos tomar una serie de medidas de seguridad para proteger esos datos. Y estamos obligados a realizar una evaluación de impacto RGPD.

Tratamiento de datos de menores en cuanto a fotografías o grabación de vídeos

Aquí debemos distinguir:

Fotografías o vídeos realizados en el centro escolar

Si la actividad fotográfica incluye acudir a centros escolares a realizar reportajes fotográficos y/o grabaciones de vídeos relativas a funciones de navidad, obras de teatro, festivales, o actividades deportivas entre otras, debemos diferenciar dos supuestos:

evento organizado por el centro escolar y

si cumple o no con la función educativa.

En el caso de que no se encuentre recogido dentro de la función educativa, debemos tener en cuenta si el que va a realizar esas fotografías o esos vídeos va a ser el centro escolar. En ese caso, el centro escolar debe informar a los menores cuando tengan más de trece años. Y en caso de que fuesen menores se informará a los padres o tutores de que se van a tomar fotografías e imágenes de vídeo. Además se debe informar sobre:

finalidad que van a tener las grabaciones,

si se van a publicar y dónde.

Para esto se requiere consentimiento expreso.

Si por el contrario el festival, la actividad deportiva o el evento que vaya a celebrarse, está dentro de la función educativa, deberá informarse a los padres de que se va a proceder a la grabación y a la toma de fotografías. Esta información se debe realizar en el momento en que vamos a pedir la autorización de los padres para que el menor pueda participar.

Fotografías realizadas en estudios

Si nuestra actividad profesional se centra en un estudio de fotografía donde son los menores los que acuden al mismo para que les tomemos imágenes debemos tener claro los siguientes pasos:

En caso de que la edad del menor sea inferior a 13 años, cualquier consentimiento que nos firme no será válido. Este deberá ser otorgado por los padres del mismo.

Si tenemos intención de publicar en nuestra página web o en cualquier red social las imágenes que le vamos a tomar, debemos hacerlo siempre previo consentimiento del menor o sus padres.

Además, debemos informar de forma previa de qué personas o colectivos van a tener acceso a las imágenes.

Tratamiento de datos de menores en escuelas deportivas o campamentos

Si nuestra empresa se dedica al tiempo de ocio de los menores mediante actividades deportivas o a través de campamentos estamos en la mejor época. Ya que muchos padres escogen los campamentos como la mejor opción para que sus hijos disfruten del verano. Y nosotros como profesionales debemos estar al tanto con la normativa de protección de datos al tratar con datos sensibles.

Es importante recabar el consentimiento previo de los padres o tutores cuando sea necesario o del menor que tenga más de 13 años para que se traten sus datos, se puedan fotografiar y subir a páginas webs y redes sociales para publicarnos.

Lo más recomendable y cómodo es recabar estos consentimientos en el momento en que se realiza la matrícula.

Protección de datos en redes sociales y menores

Para que se realice el registro de los menores en las redes sociales se piden una serie de requisitos entre los que se debe registrar la edad. Siendo la red social la responsable del tratamiento RGPD.

Cada red social tiene sus propias normas y una edad mínima establecida aunque debemos atender a la normativa nacional de cada Estado.

Y para ello seguimos lo indicado en la nueva LOPDGDD. Se indica que los menores de 14 años no podrán estar registrados ya que el consentimiento que estos hayan prestado no será un consentimiento válido. Salvo que sean padres o tutores los que respalden dicho consentimiento.

Espero haberte ayudado a entender las modificaciones en el tratamiento de datos de menores.

Y, si necesitas asesoramiento personalizado, contacta con la oficina más cercana de Grupo Ático34.

# data[].attributes.attachment_link.title
Cambios en la protección de datos de los menores de edad

# data[].attributes.attachment_link.description
Cuando con motivo de nuestra actividad empresarial tengamos que tratar datos personales de menores, debemos hacerlo siempre teniendo en cuenta que se trata de un colectivo recogido dentro de los grupos vulnerables. Al cual el RGPD le otorga una protección específica. Dentro de este colectivo, se plantean una serie de dudas en lo referente a la prestación del consentimiento.

# data[].attributes.headline
Protección de datos para centros educativos

# data[].attributes.subject
Protección de datos para centros educativos

# data[].attributes.attachment_link.title
Protección de datos para centros educativos - Ayuda RGPD & LOPD

# data[].attributes.attachment_link.readable_text
La Ley de protección de datos en los colegios y centros educativos no se circunscribe a una simple normativa. Afecta a varios aspectos muy distintos y a los sistemas de información del colegio, lo que quiere decir que es una cuestión bastante mas medular de lo que puede parecer.

Ley de Protección de datos de carácter personal (LOPD) fue aprobada en 1999 y la Agencia de protección de Datos (AEPD) es la autoridad estatal de control independiente, encargada de velar por el cumplimiento de la normativa, garantizando y tutelando el derecho fundamental a la protección de datos de carácter personal de los ciudadanos. Es importante saber que las imágenes se consideran datos protegidos en tanto en cuanto sirven para identificar a una persona física.

Los datos de carácter personal se dividen en tres categorías con sus correspondientes niveles de seguridad:

A: Datos personales básicos y generales, les corresponde un nivel de seguridad Básico

B: Datos personales de infracciones, agencia tributaria de morosidad, bancarios, seguridad social, personalidad, que les corresponde un Nivel de seguridad media

C: Datos de ideología, religión, afiliación sindical, vida sexual, policiales o violencia de género que les corresponde un Nivel de seguridad máximo

En este marco, las principales obligaciones que tienen que tener en cuenta un colegio para el cumplimiento de la Ley son las siguientes:

1.-La primera obligación será el registro del uno o varios ficheros en la Agencia de protección de datos. Como mínimo fichero de datos personales de alumnos, padres y personal del centro. Eso se puede hacer online a través de este formulario en la propia Agencia de Protección de Datos: https://sedeagpd.gob.es/sede-electronica-web/vistas/formNOTA/servicioNOTA.jsf

2.- En el proceso de matriculación, donde se recaban los datos, es fundamental informar a los padres del uso y existencia de esos ficheros y que estos den su autorización para los usos que se vayan a realizar (web del colegio, cesión a terceros para determinados usos,..etc.)

3.-Los ficheros de datos de menores de edad deben de contar con el consentimiento de progenitores o tutores legales sin que reciban un tratamiento especial por ser menores. Los datos académicos corresponden a un nivel de seguridad medio. Los mayores de 14 años pueden prestar ellos mismos el consentimiento para cierto tipo de datos. Por supuesto hay que otorgar de forma efectiva los derechos de acceso, rectificación u oposición de las personas físicas que soliciten este derecho.

4.- El régimen sancionador es fuerte, con lo que es muy importante para el colegio no incurrir en una infracción. Además la imagen del centro o de las personas puede tener graves perjuicios. Por tener unas cifras y saber de qué estamos hablando estas son las principales sanciones

Leves: entre 600 y 60.000€ aprox. Corresponden a no solicitar la inscripción del fichero, recopilar datos sin informar previamente, no atender a los derechos de rectificación o cancelación ni a los requerimientos de la Agencia de Protección de datos

Graves: de 60.000 a 300.000 aprox. Corresponden a no inscribir el fichero, no tener consentimiento para recabar datos, utilizarlos para otra función, no permitir acceso, rectificación, no seguir las garantías de la AEPD, mantener ficheros sin garantía de seguridad

Muy graves: de 300.000 a 600.000. Crear ficheros de datos especialmente protegidos, recogida de datos engañosa, comunicación de datos, tratamiento ilegitimo, transferencia de datos a países que no cumplen normativa o no atender sistemáticamente los requerimientos de la AEPD

La custodia de los datos, a través de unas adecuadas medidas de seguridad, resulta fundamental ya que una filtración de datos podría originar actuaciones de oficio contra el centro como ha ocurrido en alguna ocasión.

5- Todo colegio o centro educativo tiene que tener redactado el Documento de Seguridad.

Este es un documento interno que recoge todas las normas, procedimientos de seguridad, medidas y reglas encaminadas a garantizar la seguridad de los datos y debe de estar elaborado por el responsable del fichero y encargado del tratamiento de los datos. Igualmente debe de informarse a todo el personal y es de obligado cumplimiento por este. Como mínimo debe de comprender detalles de recursos protegidos, medidos de seguridad, normas y procedimientos, funcionales y obligaciones del personal, estructura de los ficheros, procedimientos de notificación y gestión ante incidencias

Para los niveles medios y altos se exige además un responsable de seguridad y medidas para revisión periódica.

Aquí se puede ver una guía de documento de seguridad:
https://www.agpd.es/portalwebAGPD/canalresponsable/guia_documento/index-ides-idphp.php
Entre los aspectos más importantes del documento de seguridad, esta que la validación de usuarios debe de ser personal e inequívoca, debe de existir un registro de acceso y cada usuario solo debe de acceder a los datos que son necesarios para el desempeño de su puesto. Estas son características que vienen dadas por el programa o plataforma de gestión del colegio.

6.- Medidas de seguridad adecuadas y ubicación de los datos: El documento de seguridad lleva implícito una serie de medidas de seguridad. En el caso de que los datos se hallen en la Nube el colegio tendrá que asegurarse que los datos se hallan en España o en la Unión Europea (y no bastara que el fabricante del software este en España o un Pais de legislación perecida, es decir, Unión Europea. Algunas plataformas pueden usar Google u Amazon que normalmente no garantizan que sus datos estén en la Unión Europea.

Es importante considerar que una plataforma online simplifica mucho el cumplimiento de la Ley de Protección de datos, ya que incluye las medidas de seguridad, tratamiento de copias, acceso jerarquizado, registro de acceso. Resulta fundamental en estos casos que incluya protocolo seguro lo que significa que la información está cifrada. En este sentido la AEPD da su respaldo a Microsoft, reconociendo la solvencia y las garantías de los servicios corporativos de Microsoft en la Nube en lo relativo a transferencias internacionales de datos. Igualmente la AEPD afirma que los contratos de Microsoft ofrecen garantías adecuadas para que los clientes confíen sus datos personales a la compañía en el marco de los servicios corporativos de Office 365, Dynamics CRM Online y Microsoft Azure. Microsoft es el primer y único proveedor que recibe este reconocimiento de la Agencia de Protección de Datos: http://www.agpd.es/portalwebAGPD/resoluciones/autorizacion_transf/auto_transf_2014/common/pdfs/TI-00032-2014_Resolucion-de-fecha-09-05-2014_de-MICROSOFT-CORPORATION_a-Estados-Unidos.pdf
https://news.microsoft.com/es-es/2014/06/06/aepd-servicios-cloud-microsoft/#sm.00110oxtl17i4d6zsqd13of55csw7
7.- Los sistemas de vídeo vigilancia no deben de grabar fuera del recinto del colegio y estar debidamente identificadas las cámaras. También tienes que estar identificados e informados los sistemas de control laboral o control de acceso general al centro o a determinados recintos (como comedor) a través de huella digital.

# data[].attributes.attachment_link.title
La Ley de protección de datos y los sistemas de información en los colegios -

# data[].attributes.attachment_link.description
La Ley de protección de datos en los colegios y centros educativos no se circunscribe a una simple normativa. Afecta a varios aspectos muy distintos y a los sistemas de información del colegio, lo que quiere decir que es una cuestión bastante mas medular de lo que puede parecer.

# data[].attributes.headline
Tratamiento de imágenes de alumnos en los colegios

# data[].attributes.subject
Tratamiento de imágenes de alumnos en los colegios

# data[].attributes.headline
Tratamiento de datos en centros educativos 

# data[].attributes.subject
Tratamiento de datos en centros educativos 

# data[].attributes.headline
GUÍA PARA EL TRATAMIENTO DE LOS DATOS PERSONALES EN LOS CENTROS EDUCATIVOS

# data[].attributes.subject
GUÍA PARA EL TRATAMIENTO DE LOS DATOS PERSONALES EN LOS CENTROS EDUCATIVOS