# data[].attributes.headline
Por un tratamiento de datos personales adecuado

# data[].attributes.subject
Por un tratamiento de datos personales adecuado

# data[].attributes.body
INCIBE pone a disposición de empresas, ciudadanos, padres, menores y educadores una línea telefónica gratuita de ayuda en ciberseguridad: 017. Podrán realizarse consultas en horario de 9:00 a 21:00 horas durante todos los días del año (incluidos sábados, domingos y festivos).

# data[].attributes.body
Aquí encontraremos un breve resumen acerca de los datos personales y algunos ejemplos.
Los datos personales son cualquier información relativa a una persona física viva identificada o identificable. Las distintas informaciones, que recopiladas pueden llevar a la identificación de una determinada persona, también constituyen datos de carácter personal.

Los datos personales que hayan sido anonimizados, cifrados o presentados con un seudónimo, pero que puedan utilizarse para volver a identificar a una persona, siguen siendo datos personales y se inscriben en el ámbito de aplicación del RGPD.

Los datos personales que hayan sido anonimizados, de forma que la persona no sea identificable o deje de serlo, dejarán de considerarse datos personales. Para que los datos se consideren verdaderamente anónimos, la anonimización debe ser irreversible.

# data[].attributes.body
Ejemplos de datos personales:

nombre y apellidos,

domicilio,

dirección de correo electrónico, del tipo nombre.apellido@empresa.com,

número de documento nacional de identidad,

datos de localización (como la función de los datos de localización de un teléfono móvil) (*),

dirección de protocolo de internet (IP),

el identificador de una cookie (*),

el identificador de la publicidad del teléfono,

los datos en poder de un hospital o médico, que podrían ser un símbolo que identificara de forma única a una persona.

(*) Cabe señalar que, en algunos casos, existe una legislación sectorial específica que regula, por ejemplo, el uso de los datos de localización o el uso de las «cookies»: la Directiva sobre intimidad y comunicaciones electrónicas (Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002 (DO L 201 de 31.7.2002, p. 37) y el Reglamento (CE) n.º 2006/2004 del Parlamento Europeo y del Consejo, de 27 de octubre de 2004 (DO L 364 de 9.12.2004, p. 1).
Ejemplos de datos no considerados personales:

número de registro mercantil,

dirección de correo electrónico, del tipo info@empresa.com,

datos anonimizados.

# data[].attributes.body
Guía para CE para un uso correcto de los datos de carácter personal. Aquí podremos encontrar información útil acerca de los conceptos básicos del tratamiento de datos personales, la legitimación vigente (RGPD) o el proceso de recogida de datos que se debe llevar por los CE o el AMPA, entre otros.

# data[].attributes.attachment_link.title
Guia Centros Educativos para un correcto uso de los datos de carácter personal

# data[].attributes.headline
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

# data[].attributes.subject
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

# data[].attributes.body
Relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

# data[].attributes.attachment_link.readable_text
de 27 de abril de 2016

Considerando lo siguiente:

El Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo se aplica al tratamiento de datos de carácter personal por las instituciones, órganos y organismos de la Unión. El Reglamento (CE) n.o 45/2001 y otros actos jurídicos de la Unión aplicables a dicho tratamiento de datos de carácter personal deben adaptarse a los principios y normas establecidos en el presente Reglamento y aplicarse a la luz del mismo. A fin de establecer un marco sólido y coherente en materia de protección de datos en la Unión, una vez adoptado el presente Reglamento deben introducirse las adaptaciones necesarias del Reglamento (CE) n.o 45/2001, con el fin de que pueda aplicarse al mismo tiempo que el presente Reglamento.

La protección de las personas físicas en lo que respecta al tratamiento de datos de carácter personal por parte de las autoridades competentes a efectos de la prevención, investigación, detección o enjuiciamiento de infracciones penales o de la ejecución de sanciones penales, incluida la protección frente a las amenazas contra la seguridad pública y la libre circulación de estos datos y su prevención, es objeto de un acto jurídico específico a nivel de la Unión. El presente Reglamento no debe, por lo tanto, aplicarse a las actividades de tratamiento destinadas a tales fines. No obstante, los datos personales tratados por las autoridades públicas en aplicación del presente Reglamento deben, si se destinan a tales fines, regirse por un acto jurídico de la Unión más específico, concretamente la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo . Los Estados miembros pueden encomendar a las autoridades competentes, tal como se definen en la Directiva (UE) 2016/680, funciones que no se lleven a cabo necesariamente con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o ejecución de sanciones penales, incluida la protección frente a las amenazas a la seguridad pública y su prevención, de tal forma que el tratamiento de datos personales para estos otros fines, en la medida en que esté incluido en el ámbito del Derecho de la Unión, entra en el ámbito de aplicación del presente Reglamento.

En lo que respecta al tratamiento de datos personales por parte de dichas autoridades competentes con fines que entren en el ámbito de aplicación del presente Reglamento, los Estados miembros deben tener la posibilidad de mantener o introducir disposiciones más específicas para adaptar la aplicación de las normas del presente Reglamento. Tales disposiciones pueden establecer de forma más precisa requisitos concretos para el tratamiento de datos personales con otros fines por parte de dichas autoridades competentes, tomando en consideración la estructura constitucional, organizativa y administrativa del Estado miembro en cuestión. Cuando el tratamiento de datos personales por organismos privados entre en el ámbito de aplicación del presente Reglamento, este debe disponer que los Estados miembros puedan, en condiciones específicas, limitar conforme a Derecho determinadas obligaciones y derechos siempre que dicha limitación sea una medida necesaria y proporcionada en una sociedad democrática para proteger intereses específicos importantes, entre ellos la seguridad pública y la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales o la ejecución de sanciones penales, inclusive la protección frente a las amenazas contra la seguridad pública y su prevención. Esto se aplica, por ejemplo, en el marco de la lucha contra el blanqueo de capitales o de las actividades de los laboratorios de policía científica.

El tratamiento de datos personales con fines distintos de aquellos para los que hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de su recogida inicial. En tal caso, no se requiere una base jurídica aparte, distinta de la que permitió la obtención de los datos personales. Si el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, los cometidos y los fines para los cuales se debe considerar compatible y lícito el tratamiento ulterior se pueden determinar y especificar de acuerdo con el Derecho de la Unión o de los Estados miembros. Las operaciones de tratamiento ulterior con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos deben considerarse operaciones de tratamiento lícitas compatibles. La base jurídica establecida en el Derecho de la Unión o de los Estados miembros para el tratamiento de datos personales también puede servir de base jurídica para el tratamiento ulterior. Con objeto de determinar si el fin del tratamiento ulterior es compatible con el fin de la recogida inicial de los datos personales, el responsable del tratamiento, tras haber cumplido todos los requisitos para la licitud del tratamiento original, debe tener en cuenta, entre otras cosas, cualquier relación entre estos fines y los fines del tratamiento ulterior previsto, el contexto en el que se recogieron los datos, en particular las expectativas razonables del interesado basadas en su relación con el responsable en cuanto a su uso posterior, la naturaleza de los datos personales, las consecuencias para los interesados del tratamiento ulterior previsto y la existencia de garantías adecuadas tanto en la operación de tratamiento original como en la operación de tratamiento ulterior prevista.

Si el interesado dio su consentimiento o el tratamiento se basa en el Derecho de la Unión o de los Estados miembros que constituye una medida necesaria y proporcionada en una sociedad democrática para salvaguardar, en particular, objetivos importantes de interés público general, el responsable debe estar facultado para el tratamiento ulterior de los datos personales, con independencia de la compatibilidad de los fines. En todo caso, se debe garantizar la aplicación de los principios establecidos por el presente Reglamento y, en particular, la información del interesado sobre esos otros fines y sobre sus derechos, incluido el derecho de oposición. La indicación de posibles actos delictivos o amenazas para la seguridad pública por parte del responsable del tratamiento y la transmisión a la autoridad competente de los datos respecto de casos individuales o casos diversos relacionados con un mismo acto delictivo o amenaza para la seguridad pública debe considerarse que es en interés legítimo del responsable. Con todo, debe prohibirse esa transmisión en interés legítimo del responsable o el tratamiento ulterior de datos personales si el tratamiento no es compatible con una obligación de secreto legal, profesional o vinculante por otro concepto.

El interesado debe tener derecho a no ser objeto de una decisión, que puede incluir una medida, que evalúe aspectos personales relativos a él, y que se base únicamente en el tratamiento automatizado y produzca efectos jurídicos en él o le afecte significativamente de modo similar, como la denegación automática de una solicitud de crédito en línea o los servicios de contratación en red en los que no medie intervención humana alguna. Este tipo de tratamiento incluye la elaboración de perfiles consistente en cualquier forma de tratamiento de los datos personales que evalúe aspectos personales relativos a una persona física, en particular para analizar o predecir aspectos relacionados con el rendimiento en el trabajo, la situación económica, la salud, las preferencias o intereses personales, la fiabilidad o el comportamiento, la situación o los movimientos del interesado, en la medida en que produzca efectos jurídicos en él o le afecte significativamente de modo similar. Sin embargo, se deben permitir las decisiones basadas en tal tratamiento, incluida la elaboración de perfiles, si lo autoriza expresamente el Derecho de la Unión o de los Estados miembros aplicable al responsable del tratamiento, incluso con fines de control y prevención del fraude y la evasión fiscal, realizada de conformidad con las reglamentaciones, normas y recomendaciones de las instituciones de la Unión o de los órganos de supervisión nacionales y para garantizar la seguridad y la fiabilidad de un servicio prestado por el responsable del tratamiento, o necesario para la conclusión o ejecución de un contrato entre el interesado y un responsable del tratamiento, o en los casos en los que el interesado haya dado su consentimiento explícito. En cualquier caso, dicho tratamiento debe estar sujeto a las garantías apropiadas, entre las que se deben incluir la información específica al interesado y el derecho a obtener intervención humana, a expresar su punto de vista, a recibir una explicación de la decisión tomada después de tal evaluación y a impugnar la decisión. Tal medida no debe afectar a un menor.

A fin de garantizar un tratamiento leal y transparente respecto del interesado, teniendo en cuenta las circunstancias y contexto específicos en los que se tratan los datos personales, el responsable del tratamiento debe utilizar procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles, aplicar medidas técnicas y organizativas apropiadas para garantizar, en particular, que se corrigen los factores que introducen inexactitudes en los datos personales y se reduce al máximo el riesgo de error, asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado y se impidan, entre otras cosas, efectos discriminatorios en las personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical, condición genética o estado de salud u orientación sexual, o que den lugar a medidas que produzcan tal efecto. Las decisiones automatizadas y la elaboración de perfiles sobre la base de categorías particulares de datos personales únicamente deben permitirse en condiciones específicas.

Toda persona física o jurídica tiene derecho a interponer ante el Tribunal de Justicia recurso de anulación de decisiones del Comité, en las condiciones establecidas en el artículo 263 del TFUE. Como destinatarias de dichas decisiones, las autoridades de control interesadas que quieran impugnarlas tienen que interponer recurso en el plazo de dos meses a partir del momento en que les fueron notificadas, de conformidad con el artículo 263 del TFUE. En caso de que las decisiones del Comité afecten directa e individualmente a un responsable, un encargado o al reclamante, estos pueden interponer recurso de anulación de dichas decisiones en el plazo de dos meses a partir de su publicación en el sitio web del Comité, de conformidad con el artículo 263 del TFUE. Sin perjuicio de lo dispuesto en el artículo 263 del TFUE, toda persona física o jurídica debe tener derecho a la tutela judicial efectiva ante el tribunal nacional competente contra las decisiones de una autoridad de control que produzcan efectos jurídicos que le afecten. Tales decisiones se refieren en particular al ejercicio de los poderes de investigación, corrección y autorización por parte de la autoridad de control o a la desestimación o rechazo de reclamaciones. No obstante, el derecho a la tutela judicial efectiva no incluye medidas adoptadas por las autoridades de control que no sean jurídicamente vinculantes, como los dictámenes publicados o el asesoramiento facilitado por ellas. Las acciones contra una autoridad de control deben ejercitarse ante los tribunales del Estado miembro en el que esté establecida y tramitarse con arreglo al Derecho procesal de dicho Estado miembro. Dichos tribunales deben tener plena jurisdicción, incluida la competencia para examinar todos los elementos de hecho y de Derecho relativos a la causa de la que conozcan.

Si una autoridad de control rechaza o desestima una reclamación, el reclamante puede ejercitar una acción ante los tribunales del mismo Estado miembro. En el contexto de las acciones judiciales relacionadas con la aplicación del presente Reglamento, los tribunales nacionales que estimen necesaria una decisión al respecto para poder emitir su fallo pueden, o en el caso establecido en el artículo 267 del TFUE, deben solicitar al Tribunal de Justicia que se pronuncie con carácter prejudicial sobre la interpretación del Derecho de la Unión, incluido el presente Reglamento. Además, si una decisión de una autoridad de control por la que se ejecuta una decisión del Comité se impugna ante un tribunal nacional y se cuestiona la validez de la decisión del Comité, dicho tribunal nacional no es competente para declarar inválida la decisión del Comité, sino que, si la considera inválida, tiene que remitir la cuestión de la validez al Tribunal de Justicia de conformidad con el artículo 267 del TFUE, según la interpretación de este. No obstante, un tribunal nacional puede no remitir la cuestión de la validez de la decisión del Comité a instancia de una persona física o jurídica que, habiendo tenido la oportunidad de interponer recurso de anulación de dicha decisión, en particular si dicha decisión la afectaba directa e individualmente, no lo hizo en el plazo establecido en el artículo 263 del TFUE.

Los Estados miembros deben tener la posibilidad de establecer normas en materia de sanciones penales por infracciones del presente Reglamento, incluidas las infracciones de normas nacionales adoptadas con arreglo a él y dentro de sus límites. Dichas sanciones penales pueden asimismo autorizar la privación de los beneficios obtenidos en infracción del presente Reglamento. No obstante, la imposición de sanciones penales por infracciones de dichas normas nacionales y de sanciones administrativas no debe entrañar la vulneración del principio ne bis in idem, según la interpretación del Tribunal de Justicia.

A fin de garantizar condiciones uniformes de ejecución del presente Reglamento, deben conferirse a la Comisión competencias de ejecución cuando así lo establezca el presente Reglamento. Dichas competencias deben ejercerse de conformidad con el Reglamento (UE) n.o 182/2011 del Parlamento Europeo y del Consejo. En este contexto, la Comisión debe considerar la adopción de medidas específicas para las microempresas y las pequeñas y medianas empresas.

CAPÍTULO I

Disposiciones generales

Artículo 4

Definiciones

A efectos del presente Reglamento se entenderá por:

"autoridad de control interesada": la autoridad de control a la que afecta el tratamiento de datos personales debido a que:

"servicio de la sociedad de la información": todo servicio conforme a la definición del artículo 1, apartado 1, letra b), de la Directiva (UE) 2015/1535 del Parlamento Europeo y del Consejo ;

CAPÍTULO II

Artículo 7

Condiciones para el consentimiento

1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento.

3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.

4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.

Artículo 8

Condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información

1. Cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de los datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años. Si el niño es menor de 16 años, tal tratamiento únicamente se considerará lícito si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño, y solo en la medida en que se dio o autorizó.

Los Estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que esta no sea inferior a 13 años.

2. El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible.

3. El apartado 1 no afectará a las disposiciones generales del Derecho contractual de los Estados miembros, como las normas relativas a la validez, formación o efectos de los contratos en relación con un niño.

Artículo 9

Tratamiento de categorías especiales de datos personales

1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.

3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.

4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.

Artículo 11

Tratamiento que no requiere identificación

1. Si los fines para los cuales un responsable trata datos personales no requieren o ya no requieren la identificación de un interesado por el responsable, este no estará obligado a mantener, obtener o tratar información adicional con vistas a identificar al interesado con la única finalidad de cumplir el presente Reglamento.

2. Cuando, en los casos a que se refiere el apartado 1 del presente artículo, el responsable sea capaz de demostrar que no está en condiciones de identificar al interesado, le informará en consecuencia, de ser posible. En tales casos no se aplicarán los artículos 15 a 20, excepto cuando el interesado, a efectos del ejercicio de sus derechos en virtud de dichos artículos, facilite información adicional que permita su identificación.

CAPÍTULO III

Derechos del interesado

Transparencia y modalidades

Artículo 12

Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado

1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.

2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado.

3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.

4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales.

6. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado.

7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente.

8. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados.

Rectificación y supresión

Artículo 20

Derecho a la portabilidad de los datos

2. Al ejercer su derecho a la portabilidad de los datos de acuerdo con el apartado 1, el interesado tendrá derecho a que los datos personales se transmitan directamente de responsable a responsable cuando sea técnicamente posible.

3. El ejercicio del derecho mencionado en el apartado 1 del presente artículo se entenderá sin perjuicio del artículo 17. Tal derecho no se aplicará al tratamiento que sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.

4. El derecho mencionado en el apartado 1 no afectará negativamente a los derechos y libertades de otros.

CAPÍTULO IV

Obligaciones generales

Seguridad de los datos personales

Artículo 35

Evaluación de impacto relativa a la protección de datos

1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Una única evaluación podrá abordar una serie de operaciones de tratamiento similares que entrañen altos riesgos similares.

2. El responsable del tratamiento recabará el asesoramiento del delegado de protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa a la protección de datos.

4. La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1. La autoridad de control comunicará esas listas al Comité a que se refiere el artículo 68.

5. La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos. La autoridad de control comunicará esas listas al Comité.

6. Antes de adoptar las listas a que se refieren los apartados 4 y 5, la autoridad de control competente aplicará el mecanismo de coherencia contemplado en el artículo 63 si esas listas incluyen actividades de tratamiento que guarden relación con la oferta de bienes o servicios a interesados o con la observación del comportamiento de estos en varios Estados miembros, o actividades de tratamiento que puedan afectar sustancialmente a la libre circulación de datos personales en la Unión.

8. El cumplimiento de los códigos de conducta aprobados a que se refiere el artículo 40 por los responsables o encargados correspondientes se tendrá debidamente en cuenta al evaluar las repercusiones de las operaciones de tratamiento realizadas por dichos responsables o encargados, en particular a efectos de la evaluación de impacto relativa a la protección de datos.

9. Cuando proceda, el responsable recabará la opinión de los interesados o de sus representantes en relación con el tratamiento previsto, sin perjuicio de la protección de intereses públicos o comerciales o de la seguridad de las operaciones de tratamiento.

10. Cuando el tratamiento de conformidad con el artículo 6, apartado 1, letras c) o e), tenga su base jurídica en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento, tal Derecho regule la operación específica de tratamiento o conjunto de operaciones en cuestión, y ya se haya realizado una evaluación de impacto relativa a la protección de datos como parte de una evaluación de impacto general en el contexto de la adopción de dicha base jurídica, los apartados 1 a 7 no serán de aplicación excepto si los Estados miembros consideran necesario proceder a dicha evaluación previa a las actividades de tratamiento.

11. En caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento.

Delegado de protección de datos

Artículo 40

Códigos de conducta

1. Los Estados miembros, las autoridades de control, el Comité y la Comisión promoverán la elaboración de códigos de conducta destinados a contribuir a la correcta aplicación del presente Reglamento, teniendo en cuenta las características específicas de los distintos sectores de tratamiento y las necesidades específicas de las microempresas y las pequeñas y medianas empresas.

3. Además de la adhesión de los responsables o encargados del tratamiento a los que se aplica el presente Reglamento, los responsables o encargados a los que no se aplica el presente Reglamento en virtud del artículo 3 podrán adherirse también a códigos de conducta aprobados de conformidad con el apartado 5 del presente artículo y que tengan validez general en virtud del apartado 9 del presente artículo, a fin de ofrecer garantías adecuadas en el marco de las transferencias de datos personales a terceros países u organizaciones internacionales a tenor del artículo 46, apartado 2, letra e). Dichos responsables o encargados deberán asumir compromisos vinculantes y exigibles, por vía contractual o mediante otros instrumentos jurídicamente vinculantes, para aplicar dichas garantías adecuadas, incluidas las relativas a los derechos de los interesados.

4. El código de conducta a que se refiere el apartado 2 del presente artículo contendrá mecanismos que permitan al organismo mencionado en el artículo 41, apartado 1, efectuar el control obligatorio del cumplimiento de sus disposiciones por los responsables o encargados de tratamiento que se comprometan a aplicarlo, sin perjuicio de las funciones y los poderes de las autoridades de control que sean competentes con arreglo al artículo 51 o 56.

5. Las asociaciones y otros organismos mencionados en el apartado 2 del presente artículo que proyecten elaborar un código de conducta o modificar o ampliar un código existente presentarán el proyecto de código o la modificación o ampliación a la autoridad de control que sea competente con arreglo al artículo 55. La autoridad de control dictaminará si el proyecto de código o la modificación o ampliación es conforme con el presente Reglamento y aprobará dicho proyecto de código, modificación o ampliación si considera suficientes las garantías adecuadas ofrecidas.

6. Si el proyecto de código o la modificación o ampliación es aprobado de conformidad con el apartado 5 y el código de conducta de que se trate no se refiere a actividades de tratamiento en varios Estados miembros, la autoridad de control registrará y publicará el código.

7. Si un proyecto de código de conducta guarda relación con actividades de tratamiento en varios Estados miembros, la autoridad de control que sea competente en virtud del artículo 55 lo presentará por el procedimiento mencionado en el artículo 63, antes de su aprobación o de la modificación o ampliación, al Comité, el cual dictaminará si dicho proyecto, modificación o ampliación es conforme con el presente Reglamento o, en la situación indicada en el apartado 3 del presente artículo, ofrece garantías adecuadas.

8. Si el dictamen a que se refiere el apartado 7 confirma que el proyecto de código o la modificación o ampliación cumple lo dispuesto en el presente Reglamento o, en la situación indicada en el apartado 3, ofrece garantías adecuadas, el Comité presentará su dictamen a la Comisión.

9. La Comisión podrá, mediante actos de ejecución, decidir que el código de conducta o la modificación o ampliación aprobados y presentados con arreglo al apartado 8 del presente artículo tengan validez general dentro de la Unión. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen a que se refiere el artículo 93, apartado 2.

10. La Comisión dará publicidad adecuada a los códigos aprobados cuya validez general haya sido decidida de conformidad con el apartado 9.

11. El Comité archivará en un registro todos los códigos de conducta, modificaciones y ampliaciones que se aprueben, y los pondrá a disposición pública por cualquier medio apropiado.

Artículo 43

Organismo de certificación

3. La acreditación de los organismos de certificación a que se refieren los apartados 1 y 2 del presente artículo se realizará sobre la base de los criterios aprobados por la autoridad de control que sea competente en virtud del artículo 55 o 56, o por el Comité de conformidad con el artículo 63. En caso de acreditación de conformidad con el apartado 1, letra b), del presente artículo, estos requisitos complementarán los contemplados en el Reglamento (CE) n.o 765/2008 y las normas técnicas que describen los métodos y procedimientos de los organismos de certificación.

4. Los organismos de certificación a que se refiere el apartado 1 serán responsable de la correcta evaluación a efectos de certificación o retirada de la certificación, sin perjuicio de la responsabilidad del responsable o del encargado del tratamiento en cuanto al cumplimiento del presente Reglamento. La acreditación se expedirá por un período máximo de cinco años y podrá ser renovada en las mismas condiciones, siempre y cuando el organismo de certificación cumpla los requisitos establecidos en el presente artículo.

5. Los organismos de certificación a que se refiere el apartado 1 comunicarán a las autoridades de control competentes las razones de la expedición de la certificación solicitada o de su retirada.

6. La autoridad de control hará públicos los requisitos a que se refiere el apartado 3 del presente artículo y los criterios a que se a refiere el artículo 42, apartado 5, en una forma fácilmente accesible. Las autoridades de control comunicarán también dichos requisitos y criterios al Comité. El Comité archivará en un registro todos los mecanismos de certificación y sellos de protección de datos y los pondrá a disposición pública por cualquier medio apropiado.

7. No obstante lo dispuesto en el capítulo VIII, la autoridad de control competente o el organismo nacional de acreditación revocará la acreditación a un organismo de certificación a tenor del apartado 1 del presente artículo si las condiciones de la acreditación no se cumplen o han dejado de cumplirse, o si la actuación de dicho organismo de certificación infringe el presente Reglamento.

8. La Comisión estará facultada para adoptar actos delegados, de conformidad con el artículo 92, a fin de especificar las condiciones que deberán tenerse en cuenta para los mecanismos de certificación en materia de protección de datos a que se refiere el artículo 42, apartado 1.

9. La Comisión podrá adoptar actos de ejecución que establezcan normas técnicas para los mecanismos de certificación y los sellos y marcas de protección de datos, y mecanismos para promover y reconocer dichos mecanismos de certificación, sellos y marcas. Dichos actos de ejecución se adoptarán con arreglo al procedimiento de examen a que se refiere el artículo 93, apartado 2.

CAPÍTULO V

Artículo 45

Transferencias basadas en una decisión de adecuación

1. Podrá realizarse una transferencia de datos personales a un tercer país u organización internacional cuando la Comisión haya decidido que el tercer país, un territorio o uno o varios sectores específicos de ese tercer país, o la organización internacional de que se trate garantizan un nivel de protección adecuado. Dicha transferencia no requerirá ninguna autorización específica.

3. La Comisión, tras haber evaluado la adecuación del nivel de protección, podrá decidir, mediante un acto de ejecución, que un tercer país, un territorio o uno o varios sectores específicos de un tercer país, o una organización internacional garantizan un nivel de protección adecuado a tenor de lo dispuesto en el apartado 2 del presente artículo. El acto de ejecución establecerá un mecanismo de revisión periódica, al menos cada cuatro años, que tenga en cuenta todos los acontecimientos relevantes en el tercer país o en la organización internacional. El acto de ejecución especificará su ámbito de aplicación territorial y sectorial, y, en su caso, determinará la autoridad o autoridades de control a que se refiere el apartado 2, letra b), del presente artículo. El acto de ejecución se adoptará con arreglo al procedimiento de examen a que se refiere el artículo 93, apartado 2.

4. La Comisión supervisará de manera continuada los acontecimientos en países terceros y organizaciones internacionales que puedan afectar a la efectiva aplicación de las decisiones adoptadas con arreglo al apartado 3 del presente artículo y de las decisiones adoptadas sobre la base del artículo 25, apartado 6, de la Directiva 95/46/CE.

5. Cuando la información disponible, en particular tras la revisión a que se refiere el apartado 3 del presente artículo, muestre que un tercer país, un territorio o un sector específico de ese tercer país, o una organización internacional ya no garantiza un nivel de protección adecuado a tenor del apartado 2 del presente artículo, la Comisión, mediante actos de ejecución, derogará, modificará o suspenderá, en la medida necesaria y sin efecto retroactivo, la decisión a que se refiere el apartado 3 del presente artículo. Dichos actos de ejecución se adoptarán de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2.

Por razones imperiosas de urgencia debidamente justificadas, la Comisión adoptará actos de ejecución inmediatamente aplicables de conformidad con el procedimiento a que se refiere el artículo 93, apartado 3.

6 La Comisión entablará consultas con el tercer país u organización internacional con vistas a poner remedio a la situación que dé lugar a la decisión adoptada de conformidad con el apartado 5.

7. Toda decisión de conformidad con el apartado 5 del presente artículo se entenderá sin perjuicio de las transferencias de datos personales al tercer país, a un territorio o uno o varios sectores específicos de ese tercer país, o a la organización internacional de que se trate en virtud de los artículos 46 a 49.

8. La Comisión publicará en el Diario Oficial de la Unión Europea y en su página web una lista de terceros países, territorios y sectores específicos en un tercer país, y organizaciones internacionales respecto de los cuales haya decidido que se garantiza, o ya no, un nivel de protección adecuado.

9. Las decisiones adoptadas por la Comisión en virtud del artículo 25, apartado 6, de la Directiva 95/46/CE permanecerán en vigor hasta que sean modificadas, sustituidas o derogadas por una decisión de la Comisión adoptada de conformidad con los apartados 3 o 5 del presente artículo.

Artículo 50

Cooperación internacional en el ámbito de la protección de datos personales

En relación con los terceros países y las organizaciones internacionales, la Comisión y las autoridades de control tomarán medidas apropiadas para:

CAPÍTULO VI

Artículo 51

Autoridad de control

1. Cada Estado miembro establecerá que sea responsabilidad de una o varias autoridades públicas independientes (en adelante "autoridad de control") supervisar la aplicación del presente Reglamento, con el fin de proteger los derechos y las libertades fundamentales de las personas físicas en lo que respecta al tratamiento y de facilitar la libre circulación de datos personales en la Unión.

2. Cada autoridad de control contribuirá a la aplicación coherente del presente Reglamento en toda la Unión. A tal fin, las autoridades de control cooperarán entre sí y con la Comisión con arreglo a lo dispuesto en el capítulo VII.

3. Cuando haya varias autoridades de control en un Estado miembro, este designará la autoridad de control que representará a dichas autoridades en el Comité, y establecerá el mecanismo que garantice el cumplimiento por las demás autoridades de las normas relativas al mecanismo de coherencia a que se refiere el artículo 63.

4. Cada Estado miembro notificará a la Comisión las disposiciones legales que adopte de conformidad con el presente capítulo a más tardar el 25 de mayo de 2018 y, sin dilación, cualquier modificación posterior que afecte a dichas disposiciones.

Artículo 54

Normas relativas al establecimiento de la autoridad de control

1. Cada Estado miembro establecerá por ley todos los elementos indicados a continuación:

# data[].attributes.attachment_link.description
de 27 de abril de 2016 Considerando lo siguiente: El Reglamento (CE) n.o 45/2001 del Parlamento Europeo y del Consejo se aplica al tratamiento de datos de carácter personal por las instituciones, órganos y organismos de la Unión.

# data[].attributes.body
Aquí podremos encontrar nociones básicas de lo que puede entrañar el tto de datos personales en un centro escolar: qué tipo de datos se tratan, para qué se pueden disponer, cómo se recogen, datos de carácter sensible, casos específicos de violencia de género, publicación de datos e imágenes, publicación en RRSS, etc.

# data[].attributes.attachment_link.readable_text
La protección de datos en centros educativos es de vital importancia ya que desempeñan un papel clave en el desarrollo y progreso de la sociedad.

Si te han encargado implantar la ley de protección de datos de menores en el centro escolar en el que trabajas y estás perdido, no te preocupes, te vamos a dar unas nociones básicas de lo que puede entrañar el tratamiento de datos personales en un centro escolar.

En este artículo hablamos de:

¿Qué tipos de datos tratan los centros educativos?

La garantía del derecho a la educación reconocida en el artículo 27.1 de la Constitución Española, implica el desarrollo de una actividad administrativa que trae consigo el tratamiento de datos personales.

Recordamos que un dato personal es aquel que se refiere a una persona física identificada o identificable.

Por lo tanto estamos hablando de los datos identificativos de una persona: nombre, apellidos, domicilio, teléfono, DNI, e-mail, etc.

Pero junto a estos, la Ley Orgánica de Educación legitima a los centros escolares, a recabar datos de carácter personal para la ayuda a la función docente y orientadora de los alumnos en referencia a:

Origen y ambiente familiar y social

Con esto nos referimos a toda la información sobre la situación familiar de los alumnos.

Un centro escolar puede recoger información relativa tanto a los alumnos como a los padres.

El caso de los padres es relevante ya que si, por ejemplo, están divorciados, el centro debe saber quien ostenta la patria potestad para la recogida de los menores.

Características o condiciones personales del menor

Aquí encontramos los llamados datos sensibles, en cuanto sean necesarios para la función educativa.

En este caso hay diferentes momentos que podemos destacar:

En la matriculación del alumno:

Discapacidades

Enfermedades crónicas

TDAH

Intolerancias alimentarias

Alergias

Durante el curso escolar:

Tratamiento médico que reciba un alumno a través del servicio médico o de enfermería del centro

Informes de centros sanitarios a los que se le haya trasladado como consecuencia de accidentes o indisposiciones sufridas en el centro

Informes de los equipos de orientación psicopedagógica

Desarrollo y resultados de su escolarización

Como por ejemplo las notas de cada uno de los alumnos, así como también las asignaturas elegidas por los mismos.

Circunstancias cuyo conocimiento sea necesario para educar y orientar a los alumnos

Este punto nos enlaza con los dos primeros, ya que sera necesario el conocimiento de la situación familiar y personal del alumno para su buen desarrollo educativo.

Datos ajustados a la finalidad

Es importante tener en cuenta que no podrán recabarse datos que sean excesivos para dicha finalidad.

Por ejemplo, en el caso de las solicitudes de plaza en un centro de enseñanza, no es necesario recabar los datos bancarios para el pago de actividades extraescolares hasta que no se hubiera resuelto el proceso y fuese admitido el alumno.

¿Para qué pueden disponer de esos datos?

Los datos personales no podrán usarse para fines diferentes al educativo (función docente y orientadora).

Tanto el profesor como el resto del personal del centro que acceda a los datos de carácter personal de los alumnos, se encuentran sometidos al deber de guardar secreto.

¿Cómo pueden recoger los datos personales?

El consentimiento, es la causa que legitima el tratamiento, se ha de obtener con carácter previo a su recogida.

Se puede incluir en el mismo impreso o formulario en el que se recaban los datos.

El consentimiento ha de ser inequívoco y específico, correspondiendo al centro o a la Administración educativa acreditar su existencia.

¿Y los datos de carácter sensible?

Para los datos que hagan referencia al origen racial, a la salud y a la vida sexual, el consentimiento ha de ser explícito.

¿Qué tipo de datos pueden publicar los centros educativos?

A continuación se van a exponer ejemplos prácticos de publicidad de datos en centros educativos:

Publicación de lista de admitidos

Se puede publicar, por ejemplo la lista de alumnos admitidos siempre y cuando se haga de una manera que no suponga un acceso indiscriminado la información:

Publicación en tablones dentro del centro

A través de una pagina web de acceso restringido

Esta publicación deberá recoger sólo el resultado final del baremo, no resultados parciales que puedan responder a datos o información sensible o poner de manifiesto la capacidad económica de la familia.

Esta información, no obstante, estará disponible para los interesados que ejerciten su derecho a reclamar.

¿Y en casos específicos como los de violencia de género?

El centro educativo lo tiene que excluir del listado de admitidos que se publique, ya que se tiene que proteger al menor.

En este caso se tiene que tener en cuenta la norma relativa a las medidas de protección integral de violencia de genero, ya que se establece diferentes procedimientos para proteger los datos personales de las víctimas y sus descendientes.

En consecuencia, los tipos de centros educativos deberán proceder con especial cautela a tratar los datos de los menores que se vean afectados por estas situaciones.

Por lo tanto, en virtud de la LOPDGDD, el alumno se puede oponer a la publicación de su admisión en un centro educativo si se alegan motivos fundamentados y legítimos relativos a su concreta situación personal, como, por ejemplo, razones de seguridad.

Publicación de los beneficiarios de becas

En esto casos hay que poner en valor dos situaciones:

Si la beca está fundada en una situación de discapacidad de los beneficiarios

Si la beca puede afectar a la esfera íntima del afectado

En esto casos, se podrá publicar solamente mediante el número identificador de la solicitud que solo el afectado conoce.

Captación y publicación de imágenes

Es habitual que los centros docentes, con motivo de eventos o celebraciones recojan imágenes de alumnos, profesores y familiares.

Según la finalidad para la que se recojan las imágenes y quien vaya a grabarlas se pueden observar diferentes situaciones con diferentes requisitos.

A continuación planteamos una serie de preguntas que nos suelen realizar nuestros clientes:

¿Puede un centro captar imágenes durante sus actividades?

Sí, además si se realiza con fines educativos, como trabajos o evaluaciones, no sería necesario recabar el consentimiento.

En cambio si el motivo de la toma de imágenes es para la difusión del centro, por ejemplo, publicándolas en la web es necesario:

Contar con el consentimiento del afectado

Si el afectado es menor de 14 años habrá que solicitar ese consentimiento al que ostente su patria potestad

Informar con anterioridad de la finalidad de la grabación

Informar el nivel de accesibilidad de las imágenes

¿Puede un profesor grabar a sus alumnos?

Sí, siempre y cuando esa captación de imágenes solo puedan estar accesibles para los alumnos, padres o tutores y el profesor correspondiente.

En estos casos el responsable del tratamiento es el propio centro o la Administración educativa.

Publicación de datos en la web

Es habitual que la web de un centro educativo cuente con información referida a las actividades que desarrolla y los servicios que ofrece.

Para esto en algunas ocasiones incluyen información que contiene datos de carácter personal del personal del centro y los alumnos.

¿Se pueden publicar los datos personales en la web del centro?

Pueden ocurrir dos situaciones:

Web abierta: Necesario el consentimiento previo

Web restringida: Se puede publicar, si bien como medida de responsabilidad se debería de informar a los afectados

¿Puede publicarse en la web del centro información relativa a los alumnos,como fotografías o vídeos?

Sí, siempre que se disponga del consentimiento de los alumnos o de sus padres o tutores. Si quien hace las fotos es un fotógrafo profesional deberá implantar la protección de datos en su negocio.

También podría llevarse a cabo de manera que no se pudiera identificar a los alumnos, por ejemplo, pixelando las imágenes.

Lo mismo ocurrirá en el caso de que un profesor quiera publicar las imágenes en un blog del centro.

¿ Y si el blog pertenece al profesor?

En este caso estamos hablando de un blog personal, al margen de la función de docencia.

El responsable del tratamiento en este caso es el profesor, no el centro, y este deberá solicitar siempre en todo caso el consentimiento previo para poder utilizar las imágenes.

Publicación de datos en redes sociales

Cuando un centro educativo usa una red social para darse a conocer, si incluyen algún dato de carácter personal, deberán recabar el consentimiento inequívoco del afectado.

Además se le deberá de proveer de la siguiente información:

Datos que se van a publicar

Redes sociales en las que se van a utilizar

Finalidad de uso

Quién puede acceder a los datos

Además el nuevo Reglamento Europeo de Protección de Datos exige que se informe del plazo durante el que se van a conservar la imágenes, así como los criterios para su eliminación.

Videovigilancia

Se pueden instalar cámaras de videovigilancia siempre y cuando su colocación responda a un interés legítimo del centro en mantener ka seguridad e integridad de las personas e instalaciones.

No obstante se deberá tener en cuenta lo siguiente:

Su colocación debe ser proporcional, es decir, que no se pueda conseguir por otros media la finalidad y que ofrezca más beneficios que perjuicios

Informar de su existencia mediante el distintivo correspondiente

Inscribir el fichero Videovigilancia en la AEPD

No podrán colocarse nunca en zona íntimas, como aseos o vestuarios

Obligaciones del RGPD

El nuevo Reglamento Europeo de Protección de Datos, incluye numerosas novedades que serán necesarias su observancia para el tratamiento de datos:

Registro de actividades de tratamiento

Se deberá elaborar un registro de actividades de tratamiento RGPD, es decir, una lista con información específica de cada uno de los tratamientos que se realizan en el centro.

Evaluación de impacto

Una Evaluación de Impacto en la Protección de Datos Personales (EIPD) es un análisis de los riesgos que el tratamiento de los datos puede acarrear a estos.

Designación Delegado de Protección de Datos

Se deberá nombrar un DPO que se encargará de todo lo relacionado con la protección de datos personales para centros educativos públicos y servirá como enlace con la autoridad de control.

Te dejamos la guía sectorial de la AEPD para complementer este artículo.

¿Necesitas ayuda?

Entendemos que son muchas cosas que asimilar y que la legislación no es sencilla, pero en Grupo Ático 34 contamos con personal cualificado que puede ayudarte en cualquier proceso de adaptación y evaluación, a si que si necesitas ayuda, no lo dudes, contáctenos en el Tlf 91 489 64 19, estaremos encantados de atenderte.

# data[].attributes.attachment_link.title
Proteccion de datos en centros educativos. Academias y colegios

# data[].attributes.attachment_link.description
La protección de datos en centros educativos es de vital importancia ya que desempeñan un papel clave en el desarrollo y progreso de la sociedad. Si te han encargado implantar la ley de protección de datos de menores en el centro escolar en el que trabajas y estás perdido, no te preocupes, te vamos a dar unas nociones básicas de lo que puede entrañar el tratamiento de datos personales en un centro escolar.

# data[].attributes.body
Resumen visual acerca de los datos que se pueden tratar en los CE

# data[].attributes.headline
Una breve guía del RGPD para los centros educativos y el profesorado.

# data[].attributes.subject
Una breve guía del RGPD para los centros educativos y el profesorado.

# data[].attributes.body
La plataforma School Education Gateway constituye un espacio para docentes y demás profesionales de la enseñanza donde aprender y descubrir actuaciones europeas para centros educativos, a través de infinidad de recursos y artículos publicados.

# data[].attributes.attachment_link.readable_text
Image: karelnoppe / Shutterstock.com

La protección de datos es esencial: significa privacidad y respeto y estar libre de manipulación. Sin embargo, tras el RGPD (Reglamento General de Protección de Datos) de la Unión Europea han surgido ciertas preocupaciones. ¿Necesitan los centros educativos modificar su registro? ¿Qué información se considera delicada? ¿Aún puedes llevar datos escolares en un dispositivo portátil? Esta guía te situará en una mejor posición para salvaguardar los datos de tus estudiantes y para comprender qué pasa con los tuyos.

Conoce la diferencia: datos personales y confidenciales

Los datos personales incluyen cualquier información que pueda ayudar a identificar a una persona o a su familia. En los registros del centro educativo esto podría ser su nombre, su dirección, su información de contacto, su expediente disciplinario, así como sus calificaciones e informes de evolución. Este tipo de datos continúan siendo "personales" incluso si una persona decide publicarlos.

Hay una categoría especial de datos que se refieren a temas más confidenciales. En lo que respecta al centro educativo, esto incluye los datos biométricos del estudinte (p.ej. huellas, fotos), las creencias religiosas (p.ej. la decisión de un estudiante de no participar en la clase de religión) y la salud (p.ej. alergias) o requerimientos alimentarios (que pueden hacer alusión a su religión o salud). Los datos de esta categoría pueden suponer un riesgo para las personas y, por lo tanto, solo se pueden tratar bajo ciertas condiciones. Probablemente los centros educativos no podrán utilizarlos sin el consentimiento parental.

Conoce la diferencia: controladores de datos y procesadores de datos

El RGPD destaca la importancia de dos roles, que pueden ser personas o entidades: un controlador de datos determina los medios y propósitos del tratamiento de los datos, mientras que un procesador de datos trata los datos en nombre del controlador. Cada una de estas partes tiene diferentes responsabilidades legales.

El centro educativo normalmente será "controlador", por lo que tiene que garantizar un contrato claro con el "procesador". El procesador puede tomar diversas formas: desde un fotógrafo hasta una empresa de trituración, una plataforma de aprendizaje en línea, o un programa informático. Cualquier operación que estas entidades lleven a cabo sobre los datos cuenta como tratamiento, incluso si es automatizado: recogerlos, archivarlos, recuperarlos, destruirlos, etc.

Buenas prácticas: supervísate

Según la nueva legislación, los centros escolares (al igual que todas las autoridades públicas) tienen que designar un responsable de la protección de datos, una persona dedicada al RGPD. Su trabajo es supervisar las políticas del centro educativo, ofrecer formación, realizar auditorías y más. Pero los centros educativos no deberían depender del responsable de la protección de datos para descubrir todos los fallos de su sistema. Estas son algunas de las preguntas que todos deberían hacerse:

1. ¿Por qué motivo estás tratando datos? Hay seis bases legales para el tratamiento de datos según el RGPD. La base legal más relevante para los centros educativos es la función pública, que significa que utilizan los datos para llevar a cabo una tarea de interés público. Sin embargo, la información recogida para este propósito no puede reciclarse para otro propósito. Por ejemplo, el centro educativo no puede compartir la dirección de correo electrónico de los padres y madres con una tercera parte que promueva eventos escolares afirmando que es una "función pública". Para compartir esos datos deben buscar otra base legal, el consentimiento. Los centros educativos también deberán buscar el consentimiento si establecen una cuenta de alumno en un servicio de almacenamiento en la nube.

2. ¿Qué datos se almacenan en cada lugar y quién tiene acceso a ellos? Los centros educativos deberían realizar una auditoría sobre sus prácticas de tratamiento de datos. Una vez tengan un panorama completo de los datos personales a su disposición, pueden sopesar la mejor forma de protegerlos.

3. ¿Con qué medidas de seguridad cuentas? Las violaciones de datos personales no siempre son cosa de piratas informáticos y programas maliciosos. También pueden ser el resultado de un ordenador portátil olvidado en un tren o un familiar curioso. Por eso, los trabajadores solo deberían almacenar datos personales en el equipamiento escolar, deberían utilizar contraseñas seguras y configurar sus dispositivos para que se bloqueen automáticamente tras cinco minutos. Si se descargan datos personales a dispositivos extraíbles, como a una memoria USB, deben ser encriptados y protegidos mediante una contraseña y hay que mantenerlos alejados de otros usuarios. Los trabajadores también deberían recibir formación sobre ingeniería social, fraude electrónico, tecnologías en la nube, ataques de cibersecuestro de datos y similares.

4. ¿Qué saben los padres y madres? Los centros educativos deberían emitir un aviso de privacidad a los padres y madres mediante un impreso, un boletín, un informe o una carta/correo electrónico. En él deben indicar los datos que recogen, la razón por las que los recogen y las terceras partes que están al tanto de los mismos. Ten en cuenta que, según el RGPD, los padres y madres y el alumnado pueden solicitar ver la información almacenada sobre ellos de manera gratuita.

Buenas prácticas: infórmate

No solo los adultos, sino que los niños también deberían reflexionar sobre la protección de datos. Por eso, el Centro Común de Investigación ha desarrollado el juego para dispositivos móviles Cyber Chronix, donde los jugadores tienen que enfrentarse a una serie de obstáculos relacionados con el RGPD en un planeta futurista.

Si quieres saber más sobre el RGPD, también puedes contactar con la Agencia de Protección de Datos de tu país.

También puedes leer estas publicaciones, que ayudaron a crear esta guía:

Finalmente, ¡ realiza este test de 30 segundos de 360data para evaluar tu política de protección de datos!

# data[].attributes.attachment_link.title
Una breve guía del RGPD para los centros educativos y el profesorado

# data[].attributes.attachment_link.description
Image: karelnoppe / Shutterstock.com La protección de datos es esencial: significa privacidad y respeto y estar libre de manipulación. Sin embargo, tras el RGPD (Reglamento General de Protección de Datos) de la Unión Europea han surgido ciertas preocupaciones. ¿Necesitan los centros educativos modificar su registro? ¿Qué información se considera delicada?

# data[].attributes.headline
Ejerce tus derechos. Página web oficial de la AEPD.

# data[].attributes.subject
Ejerce tus derechos. Página web oficial de la AEPD.

# data[].attributes.body
En esta web podremos navegar para adentrarnos en la normativa de Protección de Datos que permite que puedas ejercer los diferentes derechos y conocer el cumplimiento de tus deberes.
Asimismo, encontraremos una sección específica de Educación y menores entre las diferentes áreas de actuación, donde accederemos a infinidad de recursos como guías, vídeos, herramientas como el taller parental, informes, legislación, etc. acerca de la Protección de datos de los menores.

# data[].attributes.attachment_link.readable_text
Estos derechos se caracterizan por lo siguiente:

Su ejercicio es gratuito

Si las solicitudes son manifiestamente infundadas o excesivas (p. ej., carácter repetitivo) el responsable podrá:

Cobrar un canon proporcional a los costes administrativos soportados

Negarse a actuar

Las solicitudes deben responderse en el plazo de un mes, aunque, si se tiene en cuenta la complejidad y número de solicitudes, se puede prorrogar el plazo otros dos meses más

El responsable está obligado a informarte sobre los medios para ejercitar estos derechos. Estos medios deben ser accesibles y no se puede denegar este derecho por el solo motivo de que optes por otro medio

Si la solicitud se presenta por medios electrónicos, la información se facilitará por estos medios cuando sea posible, salvo que el interesado solicite que sea de otro modo

Si el responsable no da curso a la solicitud, informará y a más tardar en un mes, de las razones de su no actuación y la posibilidad de reclamar ante una Autoridad de Control

Puedes ejercer los derechos directamente o por medio de tu representante legal o voluntario

Cabe la posibilidad de que el encargado sea quien atienda tu solicitud por cuenta del responsable si ambos lo han establecido en el contrato o acto jurídico que les vincule

# data[].attributes.attachment_link.description
Estos derechos se caracterizan por lo siguiente: Su ejercicio es gratuito Si las solicitudes son manifiestamente infundadas o excesivas (p.

# data[].attributes.body
Aquí os dejamos un recurso muy ilustrativo y didáctico para mostrarlo a vuestros alumnos sobre la Protección de Datos desde su propia perspectiva.

# data[].attributes.headline
Infografía. Información sobre consentimiento para tratar datos personales en menores de edad. 

# data[].attributes.subject
Infografía. Información sobre consentimiento para tratar datos personales en menores de edad. 

# data[].attributes.headline
Infografía. Protección del menos en Internet. Recomendaciones para padres y tutores.

# data[].attributes.subject
Infografía. Protección del menos en Internet. Recomendaciones para padres y tutores.

# data[].attributes.headline
Infografía. Protege tus datos en la vuelta a clase. Consejos para padres, profesores y Centros Educativos. 

# data[].attributes.subject
Infografía. Protege tus datos en la vuelta a clase. Consejos para padres, profesores y Centros Educativos. 

# data[].attributes.headline
#Herramienta. Canal Prioritario para denunciar contenido ilícito sobre datos personales. 

# data[].attributes.subject
#Herramienta. Canal Prioritario para denunciar contenido ilícito sobre datos personales. 

# data[].attributes.body
Si tienes conocimiento de la publicación de fotografías, vídeos o audios de contenido sexual o violento en Internet sin el consentimiento de las personas afectadas (de nacionalidad española o residentes en España), solicita su retirada en el Canal prioritario de la Agencia.

# data[].attributes.attachment_link.readable_text
.Si tienes conocimiento de la existencia de fotografías, vídeos o audios de contenido sexual o violento que circulan por Internet sin el consentimiento de las personas afectadas, solicita su retirada en el Canal prioritario de la Agencia.

Canal Prioritario FAQ's

¿Eres menor de edad?

Si eres menor de 18 años y sabes que están circulando por Internet fotografías, vídeos o audios de contenido sexual o violento sin la autorización de la persona afectada (ya seas tú mism@ u otra persona) recuerda que #PuedesPararlo.
No tengas miedo y contacta con nosotros.

Contacta con nosotros

No es por el vídeo o la foto, es por todo lo que hay detrás

Si te llega un contenido violento o sexual difundido sin permiso de la víctima, denúncialo en Canal prioritario. Y si eres menor de 18 años, contacta con nosotros

Únete al reto #PuedesPararlo en Instagram mostrando tu rechazo a la difusión de contenido sensible y menciona a dos personas para que se sumen a nuestra campaña.
Recuerda que no es por el vídeo o la foto, es por lo que hay detrás.

Ver toda la campaña en Instagram

# data[].attributes.attachment_link.title
Agencia Española de Protección de Datos | #PuedesPararlo

# data[].attributes.attachment_link.description
Si tienes conocimiento de la existencia de fotografías, vídeos o audios de contenido sexual o violento que circulan por Internet sin el consentimiento de las personas afectadas, solicita su retirada en el Canal prioritario de la Agencia.

# data[].attributes.body
En esta guía podremos encontrar información útil acerca del tratamiento de datos de los alumnos: acceso a la información de los alumnos, publicación y comunicación de datos, calificaciones. grabaciones y difusión de imágenes, tto de datos en Internet, RRSS, Plataformas educativas, videovigilancia, etc.

# data[].attributes.headline
Resumen visual sobre publicación de calificaciones alumnos.

# data[].attributes.subject
Resumen visual sobre publicación de calificaciones alumnos.

# data[].attributes.headline
Disposición 16673 del BOE núm. 294 de 2018 sobre el tratamiento de imágenes. 

# data[].attributes.subject
Disposición 16673 del BOE núm. 294 de 2018 sobre el tratamiento de imágenes. 

# data[].attributes.body
Información específica acerca del tratamiento de imágenes de los alumnos. En la columna anterior también podemos encontrar información relacionada.

# data[].attributes.headline
Educarex y la protección de datos personales.

# data[].attributes.subject
Educarex y la protección de datos personales.

# data[].attributes.body
Aquí encontraremos un resumen sencillo sobre las indicaciones principales a la hora de tratar con imágenes o grabaciones de audio y vídeo de alumnos.

# data[].attributes.attachment_link.description
Según el Reglamento General de Protección de Datos español (RGPD), se consideran datos personales cualquier información referida a una persona física que permita su identificación, ya sean expresadas en forma numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo (Nombre, apellidos, DNI, estado civil, lugar y fecha de nacimiento, domicilio, número telefónico, correo electrónico, grado de estudios, sueldo, entre otros).

# data[].attributes.headline
Modelo de autorización para familias sobre tratamiento y difusión de imágenes vídeos y grabaciones de audio a alumnos. 

# data[].attributes.subject
Modelo de autorización para familias sobre tratamiento y difusión de imágenes vídeos y grabaciones de audio a alumnos. 