# data[].attributes.headline
¿Qué son los datos de carácter personal?

# data[].attributes.subject
¿Qué son los datos de carácter personal?

# data[].attributes.body
Es toda aquella información en la que se revela parte de nuestra vida privada.

En la actualidad estamos proporcionando datos continuamente. ¿Lo hacemos de forma segura? ¿Qué debemos saber?

# data[].attributes.body
El referente legislativo actual en España en materia de protección de datos se base en el
Reglamento Europeo de Protección de Datos (RGPD)

# data[].attributes.attachment_link.readable_text
El Reglamento General de Protección de Datos ( RGPD) es el reglamento europeo relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos. Entró en vigor el 25 de mayo de 2016 y fue de aplicación el 25 de mayo de 2018, dos años durante los cuales las empresas, las organizaciones, los organismos y las instituciones se fueron adaptando para su cumplimiento. Es una normativa a nivel de la Unión Europea, por lo que cualquier empresa de la unión, o aquellas empresas que tengan negocios en la Unión Europea, que manejen información personal de cualquier tipo, deberán acogerse a la misma. Las multas por el no cumplimiento del RGPD pueden llegar a los 20 millones de euros.

En España, el RGPD dejó obsoleta la Ley Orgánica de Protección de Datos de Carácter Personal (LOPD) de 1999, siendo sustituida el 6 de diciembre de 2018 por la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales, acorde con el RGPD.​

El RGPD también ofrece un nuevo conjunto de "derechos digitales" para los ciudadanos de la UE en una época en la que el valor económico de los datos personales está aumentando en la economía digital.

El Reglamento General de Protección de Datos contiene los siguientes requisitos clave:​​

El reglamento no pretende aplicarse al tratamiento de datos personales para actividades de seguridad nacional o aplicación de la ley en la Unión Europea; sin embargo, grupos industriales preocupados por enfrentar un posible conflicto de leyes han cuestionado si el artículo 48 de la RGPD podría invocarse para evitar que un controlador de datos sujeto a las leyes de un tercer país cumpla con un orden legal de la aplicación de la ley de ese país, judicial, o las autoridades de seguridad nacional divulguen a dichas autoridades los datos personales de una persona de la UE, independientemente de si los datos residen dentro o fuera de la UE.

El artículo 48 establece que cualquier juicio de un tribunal o tribunal y cualquier decisión de una autoridad administrativa de un tercer país que requiera que un controlador o procesador transfiera o divulgue datos personales solo podrá ser reconocido o exigible de cualquier manera si se basa en un acuerdo internacional, tal como un tratado de asistencia jurídica mutua vigente entre el tercer país (no UE) solicitante y la Unión o un Estado miembro, el paquete de reforma de protección de datos también incluye una Directiva de protección de datos separada para el sector policial y de justicia penal que proporciona normas sobre personal intercambios de datos a nivel nacional, europeo e internacional.

Conjunto único de reglas y ventanilla única

Un único conjunto de reglas se aplicará a todos los estados miembros de la UE. Cada estado miembro establecerá una Autoridad de Supervisión (SA) independiente para escuchar e investigar denuncias, sancionar infracciones administrativas, etc. Las SA de cada Estado miembro cooperarán con otras SA, proporcionando asistencia mutua y organizando operaciones conjuntas. Cuando una empresa tenga múltiples establecimientos en la UE, tendrá una sola SA como su "autoridad principal", según la ubicación de su "establecimiento principal" (es decir, el lugar donde se llevan a cabo las principales actividades de tratamiento). La autoridad principal actuará como " ventanilla única" para supervisar todas las actividades de tratamiento de esa empresa en toda la UE.​​ (Artículos 46-55 de la RGPD). La Junta Europea de Protección de Datos (EDPB) coordinará las SA. EDPB reemplazará al Artículo 29 Grupo de Trabajo.

Existen excepciones para los datos tratados ​​en un contexto de empleo y los datos tratados ​​para fines de seguridad nacional que aún podrían estar sujetos a las reglamentaciones de cada país (artículos 2 (2) (a) y 82 de la RGPD).

Los requisitos de notificación permanecen y se expanden. Deben incluir el tiempo de retención para los datos personales y la información de contacto para el controlador de datos y se debe proporcionar un delegado de protección de datos.

La toma de decisiones individual automatizada, incluida la elaboración de perfiles (artículo 22) es discutible, de forma similar a la Directiva de protección de datos (artículo 15). Los ciudadanos tienen el derecho de cuestionar y luchar contra las decisiones importantes que les afecten y que se hayan realizado sobre la base exclusiva de algoritmo ic. Muchos medios de comunicación han comentado la introducción de un "derecho a la explicación" de decisiones algorítmicas,​​ pero desde entonces los académicos legales han argumentado que la existencia de tal derecho no está muy clara sin una prueba judicial y, en el mejor de los casos, es limitada.​​

Para poder demostrar el cumplimiento con el RGPD, el controlador de datos debe implementar medidas que cumplan con los principios de protección de datos por diseño y protección de datos por defecto. Privacidad por diseño y por defecto (Artículo 25) requieren que las medidas de protección de datos estén diseñadas para el desarrollo de procesos comerciales para productos y servicios. Tales medidas incluyen datos personales Seudonimizamiento, por parte del controlador, tan pronto como sea posible (considerando 78).

Es responsabilidad del controlador de datos implementar medidas efectivas y ser capaz de demostrar el cumplimiento de las actividades de tratamiento, incluso si el tratamiento se lleva a cabo por un procesador de datos en nombre del controlador. (Considerando 74).

Las evaluaciones de impacto de protección de datos (artículo 35) deben llevarse a cabo cuando se producen riesgos específicos a los derechos y libertades de los interesados. Se requiere la evaluación y mitigación de riesgos y se requiere la aprobación previa de las Autoridades de Protección de Datos (DPA) para los riesgos más altos. Los delegados de protección de datos (artículos 37-39) deben garantizar el cumplimiento dentro de las organizaciones.

Deben ser designados:

Para todas las autoridades públicas, a excepción de los tribunales que actúan en su capacidad judicial

Si las actividades centrales del controlador o del procesador consisten en

Tratamiento de "operaciones" que, en virtud de su naturaleza, su alcance y / o sus propósitos, requieren un control regular y sistemático de los interesados ​​a gran escala

Tratamiento en una "escala" grande de categorías especiales de datos de conformidad con el artículo 9 y datos personales relacionados con condenas penales y delitos a que se refiere el artículo 10​

El interesado ha dado su consentimiento para el tratamiento de sus datos personales con uno o más propósitos específicos.

El tratamiento es necesario para la ejecución de un contrato del que el interesado es parte o para tomar medidas a petición del interesado antes de celebrar un contrato.

El tratamiento es necesario para cumplir con una obligación legal a la cual el controlador está sujeto.

El tratamiento es necesario para proteger los intereses vitales del interesado o de otra persona física.

El tratamiento es necesario para la realización de una tarea llevada a cabo en interés público o en el ejercicio de la autoridad oficial conferida al controlador.

El tratamiento es necesario para los fines de los intereses legítimos perseguidos por el responsable o por un tercero, salvo cuando dichos intereses sean anulados por los intereses o los derechos y libertades fundamentales del interesado que requieren protección de datos personales, en particular cuando el interesado es un niño.

Cuando el consentimiento se utiliza como la base legal para el tratamiento, el consentimiento debe ser explícito para los datos recopilados y los fines para los que se utilizan los datos (Artículo 7, definido en el Artículo 4). Consentimiento para niños​ debe ser otorgado por el padre o tutor del niño, y verificable (Artículo 8). Los controladores de datos deben poder probar el "consentimiento" (opt-in) y el consentimiento puede ser retirado.​

Delegado de protección de datos

Cuando el tratamiento lo lleve a cabo una autoridad pública, a excepción de los tribunales o autoridades judiciales independientes cuando actúan en su capacidad judicial, o cuando, en el sector privado, el tratamiento lo lleva a cabo un controlador cuyas actividades centrales consisten en operaciones de tratamiento que requieren regular y la supervisión sistemática de los interesados, una persona con conocimiento experto de la legislación y prácticas de protección de datos debería ayudar al controlador o procesador a supervisar el cumplimiento interno de este Reglamento.

El DPO es similar pero no es lo mismo que un Oficial de Cumplimiento, ya que también se espera que sea competente en la gestión de procesos de TI, seguridad de datos (incluido el tratamiento de ciberataques) y otros problemas críticos de continuidad empresarial en la retención y tratamiento de datos personales y confidenciales datos. El conjunto de habilidades requeridas se extiende más allá de comprender el cumplimiento legal con las leyes y regulaciones de protección de datos.

El nombramiento de un DPO dentro de una gran organización será un desafío para la Junta, así como para el individuo en cuestión. Hay una miríada de problemas de gobernanza y factores humanos que las organizaciones y compañías deberán abordar dado el alcance y la naturaleza de la designación. Además, el titular del puesto tendrá que crear su propio equipo de soporte y también será responsable de su propio desarrollo profesional continuo, ya que deben ser independientes de la organización que los emplea, efectivamente como un "mini-regulador".

Seudonimización

El RGPD de la Unión Europea se refiere al cifrado, o encriptación, de los datos como la fórmula más segura para la protección de los mismos. De hecho, señala en sus artículos 33 y 34 que, si se tiene cifrada la información, aunque se produzca una fuga no es necesaria la notificación a los afectados, ni a la autoridad administrativa correspondiente, en el caso de España la Agencia Española de Protección de Datos.

También señala la seudonimización como algo demandado para cualquier almacenaje de datos personales sobre personas dentro del UE como alternativa a la otra opción de anonimización de datos.​

Bajo el RGPD, el Controlador de Datos estará bajo la obligación legal de notificar a la Autoridad de Supervisión sin demora indebida. La notificación de una filtración de datos no está sujeta a ninguna norma de minimis y debe notificarse a la Autoridad de Supervisión dentro de las 72 horas posteriores a haber tenido conocimiento de la violación de datos (Artículo 33). Las personas deben ser notificadas si se determina un impacto adverso (Artículo 34). Además, el procesador de datos deberá notificar al controlador sin demora después de conocer una violación de datos personales (Artículo 33).

Sin embargo, la notificación a los interesados ​​no es necesaria si el responsable del tratamiento ha implementado medidas de protección técnicas y organizativas apropiadas que hacen que los datos personales sean ininteligibles para cualquier persona que no esté autorizada para acceder, como el cifrado (Artículo 34).

Las siguientes sanciones pueden ser impuestas:

Una advertencia por escrito en los casos de incumplimiento previo e intencional,

Auditorías periódicas de protección de datos,

Una multa de hasta 10.000.000 o hasta el 2% del volumen de negocios mundial anual del ejercicio anterior en el caso de una empresa, cualquiera que sea mayor, cuando haya habido una infracción de las siguientes disposiciones (Artículo 83, Párrafo 4)​):

Las obligaciones del controlador y del procesador de conformidad con los artículos 8, 11, 25 a 39, 42 y 43,

Las obligaciones del organismo de certificación de conformidad con los artículos 42 y 43,

Las obligaciones del organismo de supervisión de conformidad con el artículo 41 (4).

Una multa de hasta 20.000.000 o hasta el 4% del volumen de negocios anual del año financiero anterior en el caso de una empresa, cualquiera que sea mayor, cuando se haya infringido las siguientes disposiciones : (Artículo 83, párrafos 5 y 6​).

Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento, de conformidad con los artículos 5, 6, 7 y 9,** the data subjects' rights pursuant to Articles 12 to 22,

Las transferencias de datos personales a un destinatario en un tercer país o una organización internacional de conformidad con los artículos 44 a 49,

Cualquier obligación conforme a la ley de los Estados miembros adoptada en virtud del Capítulo IX,

El incumplimiento de una orden o una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad supervisora ​​de conformidad con el artículo 58 (2) o la falta de acceso en violación del artículo 58 (1).

Cronología

17 de diciembre de 2015: La comisión LIBE del Parlamento Europeo votó positivamente sobre el resultado de las negociaciones entre las tres partes.

8 de abril de 2016: Adopción por el Consejo de la Unión Europea.​ El único estado miembro que votó en contra fue Austria, argumentando que el nivel de protección de datos en algunos aspectos es bajo en comparación con la directiva de 1995.​​

14 de abril de 2016: Adopción por el Parlamento Europeo.​

El reglamento entró en vigor 20 días después de su publicación en el Diario oficial de la Unión Europea el 4 de mayo de 2016.​ Sus disposiciones serán directamente aplicables en todos los estados miembros dos años después de esta fecha.

Es aplicable desde el 25 de mayo de 2018.​

Mercado único digital de la UE

Como parte de esta estrategia, el RGPD y la Directiva sobre seguridad de redes y sistemas de información (Directiva NIS) es aplicable desde el 25 de mayo de 2018. El "[propuesto]" Reglamento de privacidad también es aplicable a partir del 25 de mayo de 2018. El el Reglamento eIDAS también es parte de la estrategia.

Bajo el RGPD, se alienta a las organizaciones a devolver el control de los datos personales al individuo o ciudadano. Haciéndoles más fácil el acceso a las organizaciones de datos que tienen y para que puedan cambiar los permisos que otorgan para que se utilicen (ver Bases legales para el tratamiento) o compartido.

Gestión de información personal ayuda a las organizaciones a devolver este control, y hay una serie de herramientas y soluciones para ayudar con esto.

1. "Aprobada la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales". Agencia Española de Protección de Datos. 23 de noviembre de 2018.

2. El Reglamento de Protección de Datos General de la UE propuesto. Una guía para abogados internos, Hunton & Williams LLP, June 2015, p. 14

3. editor, Ian Sample Science (27 de enero de 2017). "El perro guardián de la IA necesita regular la toma de decisiones automatizada, dicen los expertos". The Guardian (en inglés británico). .

4. Wachter, Sandra; Mittelstadt, Brent; Floridi, Luciano (28 de diciembre de 2016). Por qué no existe un derecho a la explicación de la toma de decisiones automatizada en el Reglamento general de protección de datos - via SSRN.

5. Edwards, Lilian; Veale, Michael (2017). "Esclavo del algoritmo? Por qué el "derecho a una explicación" probablemente no sea el remedio que está buscando". Duke Law and Technology Review. . doi:10.2139/ssrn.2972855. El material ha sido copiado de esta fuente. Se autoriza la reutilización de los datos EUR-Lex con fines comerciales o no comerciales siempre que se indique la fuente.

6. Artículo 8 (1): "A los efectos del presente Reglamento, en relación con la oferta de servicios de la sociedad de la información directamente a un niño, el tratamiento de los datos personales de un niño menor de 13 años deberá solo será legal si y en la medida en que el padre o el tutor del niño brinde o autorice el consentimiento ".

7. Data science under GDPR with pseudonymization in the data pipeline Publicado por Dativa, 17 de abril de 2018 (en inglés)

# data[].attributes.attachment_link.title
Reglamento General de Protección de Datos

# data[].attributes.attachment_link.description
El Reglamento General de Protección de Datos ( RGPD) es el reglamento europeo relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos.

# data[].attributes.headline
En España, el organismo público encargado de velar por el cumplimiento de la legislación es la AEPD

# data[].attributes.subject
En España, el organismo público encargado de velar por el cumplimiento de la legislación es la AEPD

# data[].attributes.attachment_link.title
Agencia Española de Protección de Datos | AEPD

# data[].attributes.attachment_link.description
Esta iniciativa está alineada con los ejes estratégicos de la Agencia y, en especial, con el dirigido a la protección de los menores en Internet. El objetivo del Plan Digital Familiar es dar pautas avaladas por la evidencia científica para aprovechar las ventajas de la tecnología reduciendo los riesgos sobre la salud de los menores e incluye recomendaciones personalizadas y adaptadas a las circunstancias de cada familia en función de la edad de sus hijos.

# data[].attributes.headline
Puedes encontrar la legislación europea AQUÍ

# data[].attributes.subject
Puedes encontrar la legislación europea AQUÍ

# data[].attributes.attachment_link.readable_text
Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (Text with EEA relevance)

OJ L 119, 4.5.2016, p. 1-88 (BG, ES, CS, DA, DE, ET, EL, EN, FR, GA, HR, IT, LV, LT, HU, MT, NL, PL, PT, RO, SK, SL, FI, SV)

In force: This act has been changed. Current consolidated version: 04/05/2016

ELI: http://data.europa.eu/eli/reg/2016/679/oj

Languages, formats and link to OJ

# data[].attributes.attachment_link.title
Regulation - 2016/679 - EN - gdpr - EUR-Lex

# data[].attributes.headline
La AEPD tiene una guía para centros en cuanto al tratamiento de datos personales

# data[].attributes.subject
La AEPD tiene una guía para centros en cuanto al tratamiento de datos personales

# data[].attributes.headline
Principios en el uso del tratamiento de datos

# data[].attributes.subject
Principios en el uso del tratamiento de datos

# data[].attributes.body
. Los datos personales serán tratados de manera lícita, leal y transparente en relación
con el interesado.

. Los datos personales serán recogidos con fines determinados, explícitos y legítimos,
y no serán tratados ulteriormente de manera incompatible con dichos fines

. Los datos personales serán adecuados, pertinentes y limitados a lo necesario en
relación con los fines para los que son tratados

. Los datos personales serán exactos y, si fuera necesario, actualizados; se adoptarán
todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos
personales que sean inexactos con respecto a los fines para los que se tratan.

. Los datos personales serán mantenidos de forma que se permita la identificación de
los interesados durante no más tiempo del necesario para los fines del tratamiento de
los datos personales

. Los datos personales serán tratados de tal manera que se garantice una seguridad
adecuada de los datos personales

# data[].attributes.attachment_link.title
Protección de datos para centros educativos - Ayuda RGPD & LOPD

# data[].attributes.attachment_link.readable_text
El desarrollo de las tecnologías de la información y comunicación ha facilitado la captación, grabación y reproducción de imágenes, proporcionando medios que prácticamente han convertido en un fotógrafo o realizador de vídeos a cualquier persona que disponga de un teléfono móvil.

Con ocasión de la celebración de actos escolares o de eventos en centros educativos en los que los alumnos y los profesores son los protagonistas, tanto por los familiares como por el propio centro se toman fotografías y graban vídeos en los que se recogen sus imágenes. Estos hechos, comunes en los eventos escolares, dan lugar a que se planteen muchas cuestiones sobre quién y cómo se pueden captar las imágenes, qué requisitos se han de cumplir, con qué finalidad y a quién se pueden comunicar.

Según quién vaya a grabar las imágenes y la finalidad para la que se graben será necesario observar unos determinados requisitos.

Si la grabación de las imágenes se produjera por el centro escolar con fines educativos, como trabajos escolares o evaluaciones, el centro o la Administración educativa estarían legitimados para dicho tratamiento sin necesidad del consentimiento de los alumnos o de sus padres o tutores. Cuando la grabación de las imágenes no se corresponda con dicha función educativa, sino que se trate de imágenes de acontecimientos o eventos que se graban habitualmente con fines de difusión en la revista escolar o en la web del centro, se necesitará contar con el consentimiento de los interesados, a quienes se habrá tenido que informar con anterioridad de la finalidad de la grabación, en especial de si las imágenes van a estar accesibles de manera indiscriminada o limitada a la comunidad escolar.

En caso de conflicto entre los progenitores sobre la grabación de las imágenes de sus hijos, deberá plantearse ante el juez competente en materia de familia para su resolución.

Casos prácticos y ejemplos

Se recomienda que la publicación en la web de los centros tenga lugar en un espacio privado, al que se acceda mediante identificación y contraseña.

Por otra parte, es muy frecuente que los padres y familiares de alumnos tomen fotografías y graben vídeos en eventos festivos, conmemorativos, deportivos o de otra índole, en los que participan los alumnos.

En estos casos la grabación de las imágenes suele corresponder a una actividad exclusivamente personal y doméstica, es decir, aquellas que se inscriben en el marco de la vida privada, familiar y de amistad, que están excluidas de la aplicación de la normativa de protección de datos.

En otras ocasiones no es el centro escolar el que toma las fotografías o vídeos de los alumnos ni tampoco sus familiares, sino que son terceros, ya sea la empresa que presta un determinado servicio, por ejemplo, la celebración de actividades extraescolares o un club deportivo.

De nuevo hay que distinguir: si la grabación de imágenes se realiza por encargo del centro educativo, en cuyo caso éste deberá obtener el consentimiento de los alumnos o de sus padres o tutores, o si es el tercero quien toma la fotografías o graba los vídeos para sus propias finalidades, que tendrá que contar con el previo consentimiento de los interesados, ya lo recabe él mismo o a través del centro, en cuyo caso se deberá especificar que el tercero es el responsable del tratamiento.

# data[].attributes.attachment_link.title
5. Tratamiento de las imágenes de los alumnos

# data[].attributes.attachment_link.description
El desarrollo de las tecnologías de la información y comunicación ha facilitado la captación, grabación y reproducción de imágenes, proporcionando medios que prácticamente han convertido en un fotógrafo o realizador de vídeos a cualquier persona que disponga de un teléfono móvil.

# data[].attributes.attachment_link.readable_text
No existen unas directrices claras, uniformes y unívocas por parte de las Consejerías de Educación a los centros escolares sobre cómo tratar estos datos

getty

Marta tiene un hijo de casi tres años que el próximo mes de septiembre iniciará su andadura escolar en un pequeño colegio público de Navarra. Mientras cumplimentaba los papeles de la matrícula, se sorprendió al encontrarse un apartado en el que le pedían su consentimiento para que el colegio pudiese compartir las fotos de su hijo de forma pública en la web del centro. Ante su negativa a dar la autorización, Marta confiesa haberse sentido "señalada y presionada" con el argumento de que hasta la fecha solo una familia de los 600 alumnos matriculados en el centro no había consentido el uso de las imágenes de sus hijos. "No autorizar es lo raro. Me dicen que es un modo de excluir a mi hijo de algunas actividades, insistiéndome en eso les obligará a buscar estrategias para evitar que el niño salga en las fotos sin que él se dé cuenta. Si dan la opción de elegir, que respeten la decisión de los padres. ¿O es que es un mero trámite y dan por hecho que vamos a decir que sí? ", se pregunta contrariada.

El de Marta no es un caso aislado en una época en la que los centros escolares utilizan las fotografías de los niños, tanto en las webs como en redes sociales como Facebook o Instagram, como reclamo, estrategia de marketing y medio para mostrar gráficamente el trabajo que se realiza en el colegio. "No es la primera vez que oigo esto. El consentimiento así prestado es nulo de pleno derecho ya que este tiene que ser libre. Y esto debería estar reflejado en la hoja que te dan para firmar ese consentimiento cada año, que debería contar con una cláusula especifica donde se señale que el menor no será discriminado si los padres no prestan consentimiento para ceder el uso de sus fotos", afirma Ana Belén Spínola Pérez, abogada experta en Derecho Penal, Familia y Nuevas Tecnologías en Ad&Law.

Ausencia de directrices claras

El derecho a la imagen de los menores es un derecho fundamental altamente protegido. Lo está en el artículo 18 de la Constitución, en la Ley 1/82 de Protección Civil del Derecho al Honor, en la Ley Orgánica 1/96 de Protección Jurídica del Menor, en la Carta de Derechos Fundamentales de la Unión Europea (2000/C 364), que en su artículo 24 establece que "el interés superior del menor constituirá una consideración primordial"; y, por supuesto, como afirma Ana Spínola, en el nuevo Reglamento General de Protección de Datos (RGPD), que empezará a aplicarse a partir del 25 de mayo y que, aunque no tiene como finalidad específica la protección al menor, "de su espíritu y de sus considerandos sí se deriva una intención de protección de la infancia, para empezar porque los menores están consideradas personas vulnerables de por sí, por lo que el tratamiento de sus datos personales está especialmente protegido".

Sin embargo, y pese a toda esta legislación que salvaguarda el derecho fundamental a la propia imagen de los menores, para la abogada "es cuanto menos curioso que no existan unas directrices claras, uniformes y unívocas por parte de las Consejerías de Educación a los centros escolares sobre cómo tratar estos datos, qué datos recabar, y qué uso se debe o se puede hacer de ellos".

En cuanto al uso cada vez más al alza de las imágenes en redes sociales, la AEPD establece que éste requiere contar con el consentimiento "inequívoco" de los interesados

En ese sentido y hasta la fecha, solo la Agencia Española de Protección de Datos (AEPD) ha dado pautas al respecto a través de su Guía para centros educativos, en la que diferencia entre grabaciones y fotografías realizadas con fines educativos, como trabajos escolares o evaluaciones, en cuyo caso "el centro o la Administración educativa estarían legitimados para dicho tratamiento sin necesidad del consentimiento de los alumnos o de sus padres o tutores"; y las imágenes de acontecimientos y eventos que trascienden esa función educativa y que se utilizan con fines de difusión en la revista escolar o en la web del centro, para las que "se necesitará contar con el consentimiento de los interesados, a quienes se habrá tenido que informar con anterioridad de la finalidad de la grabación, en especial de si las imágenes van a estar accesibles de manera indiscriminada o limitada a la comunidad escolar".

Añade Ana Belén Spínola que con la entrada en vigor de la RGPD los centros escolares deberán determinar antes de recabar datos de los menores "cuál va a ser su finalidad, qué riesgos puede llevar el tratamiento de esos datos y medir las consecuencias que dichos datos puedan llegar a tener si son mal utilizados o, por negligencia en su tratamiento, acaben en manos de quien no está autorizado para tratarlos. O lo que es peor, en manos de un delincuente". En ese sentido explica que los centros escolares concertados y privados están obligados a realizar estas evaluaciones de impacto y a tener unas medidas de seguridad adecuadas a los datos que tratan. Algo que, por el contrario, no sucede con los colegios públicos, no afectados directamente por esta normativa, "lo que no quiere decir que no deban cumplirla, debiéndose impulsar políticas públicas que doten de medios a los referidos centros y de protocolos de actuación al respecto, pues lo que está en juego es la privacidad del menor".

Formas de compartir las imágenes de los menores

La Guía para centros educativos de la AEPD establece que "se pueden tomar imágenes de los alumnos en determinados eventos desarrollados en el entorno escolar con la única finalidad de que los padres puedan acceder a ellas, pero debe hacerse en un entorno seguro que exija la previa identificación y autenticación de los alumnos, padres o tutores". En ese mismo sentido, la guía añade que "en todo caso, sería preciso recordar a quienes acceden a las imágenes que no pueden, a su vez, proceder a su divulgación de forma abierta".

En el caso de querer compartir fotos y vídeos de forma pública, Ana Spínola afirma que los centros deben obtener el consentimiento "explícito y libremente otorgado de los padres", a los que se debe informar "con la mayor claridad posible" sobre el uso y la finalidad que se le va a dar a esos datos "para que estos puedan entender exactamente cómo y para qué se van a usar esas fotos y si realmente quieren prestar ese consentimiento". Además, según la abogada de Ad&Law, el centro escolar debería formar al profesorado en el uso de esas imágenes y adoptar las "medidas de seguridad adecuadas para evitar el ataque por terceros a sus bases de datos y que esas fotos acaben en las manos equivocadas".

En cuanto al uso cada vez más al alza de las imágenes en redes sociales, la AEPD establece que este requiere contar con el consentimiento "inequívoco" de los interesados, a los que hay que informar "previamente de manera clara de los datos que se van a publicar, en qué redes sociales, con qué finalidad, quién puede acceder a los datos, así como de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición". Al respecto, la RGPD incluye también la obligación de informar a los padres "sobre el plazo durante el que se conservarán las imágenes o, si no fuera posible, de los criterios para determinarlo".

En todo caso, concluye la experta, en la medida de los posible y de cara a publicar fotografías en redes abiertas, lo más adecuado es "no fotografiar a los menores de manera que se les identifique perfectamente"

Para Spínola, el uso de fotografías y vídeos de menores en redes sociales abiertas como Facebook, muchas veces realizado con el único fin de publicitar al colegio, "no parece que obedezca al principio de interés superior del menor, sino más bien al interés comercial del centro", por lo que considera que "no existe legitimación para ese uso, que excede con mucho el uso doméstico del que habla el Reglamento". En todo caso, y de compartirlas, además de la autorización expresa de los padres, considera que lo más adecuado es que el centro establezca un protocolo con pautas para el tratamiento de esas imágenes. Entre esas pautas, por ejemplo, para la abogada el pixelado de los rostros "está muy bien como medida de protección de la imagen del menor" siempre y cuando no se nombre o etiquete al niño en la publicación, en cuyo caso "el intento de anonimización no será tal".

Por último, en cuanto al envío de imágenes a través de grupos privados de WhatsApp, una estrategia que también utilizan algunos centros, Spínola afirma que "no es incorrecto si hay consentimiento y se informa a los padres que no están autorizados a no dar a estas fotos un uso doméstico. Es decir, que no están autorizados a difundirlas más allá de su ámbito doméstico".

En todo caso, concluye la experta, en la medida de lo posible y de cara a publicar fotografías en redes abiertas, lo más adecuado es "no fotografiar a los menores, de manera que se les identifique perfectamente". En ese sentido, añade que las fotos de grupo, donde se ve a los menores de lejos y son más difícilmente identificables, "van a ser menos invasivas en la intimidad y en la seguridad del menor que una foto directa del niño más guapo y feliz del colegio".

Más información

# data[].attributes.attachment_link.title
¿Puede el colegio publicar fotos de mi hijo?

# data[].attributes.attachment_link.description
No existen unas directrices claras, uniformes y unívocas por parte de las Consejerías de Educación a los centros escolares sobre cómo tratar estos datos Marta tiene un hijo de casi tres años que el próximo mes de septiembre iniciará su andadura escolar en un pequeño colegio público de Navarra.

# data[].attributes.headline
Obligaciones generales respecto al tratamiento de datos de carácter personal

# data[].attributes.subject
Obligaciones generales respecto al tratamiento de datos de carácter personal

# data[].attributes.body
El responsable puede realizar el
tratamiento de datos de carácter personal:

Si prestamos consentimiento expreso para uno o varios fines, por ejemplo, al
suscribirnos a un servicio de alertas.

Cuando el tratamiento de datos sea necesario para llevar a cabo algún tipo de
contrato o prestación de servicio para el interesado

Si el tratamiento de los datos es necesario para satisfacer los derechos de una
tercera persona, siempre que no prevalezca la libertad del titular de los datos

El responsable deberá efectuar el tratamiento de datos de carácter personal si se
le impone esta obligación legal

El responsable efectuará el tratamiento si es necesario para el cumplimiento de
una misión de interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.

El responsable efectuará el tratamiento si es necesario para proteger intereses
vitales de cualquier persona física