# data[].attributes.headline
¿Cómo afecta la nueva ley de Protección de Datos a los centros educativos?

# data[].attributes.subject
¿Cómo afecta la nueva ley de Protección de Datos a los centros educativos?

# data[].attributes.attachment_link.readable_text
Este viernes 25 de mayo entra en vigor el nuevo Reglamento General de Protección de Datos o GDPR, la normativa que sustituye a la actual Ley Orgánica de Protección de Datos que se aplicará a los 28 países de la Unión Europea.
En concreto, afectará tanto a instituciones físicas como a organizaciones que desempeñan su actividad profesional o comercial en ella: la escuela es uno de esos ámbitos y, por tanto, deberá adaptarse a la nueva norma.

¿Qué implica la GDPR en centros educativos?

Básicamente requiere (en el caso de los centros escolares) que sus responsables analicen los datos que tratan, con qué finalidad lo hacen y el tipo de tratamiento que realizan. Así, podrán establecer cómo aplicar las medidas adecuadas para su protección. Vamos a verlo con más detalle.
La puesta en marcha de la norma GDPR dará luz verde a nuevos derechos que reforzarán la capacidad de control que posee una persona sobre sus datos, además de su derecho de acceso, es decir, el derecho a conocer quien tiene esa información, a quién se la comunican o con qué motivo. Asimismo, determina las obligaciones que necesitan cumplir sus responsables a la hora de tratarla.

En este nuevo escenario, y al igual que una compañía privada tiene bajo su poder datos referidos a personas, en el ámbito educativo sucede algo similar. Los centros disponen no sólo de material acerca de sus trabajadores sino también de sus estudiantes: fotografías, documentación, evaluaciones, expedientes, informes médicos ...; en algunas situaciones, incluso, manejan datos de categorías especiales que por sus características exigen un control más estricto (por ejemplo, etnia o raza).

Responsabilidad proactiva

¿De qué modo esto afectará a los colegios y la protección de sus datos? Como explica Julián Prieto, responsable del área de menores de la Agencia Española de Protección de Datos : "Se introduce una nueva modalidad de cumplimiento basada en una responsabilidad proactiva que lleva a que los responsables de este tratamiento, los centros o las administraciones educativas, adopten aquellas medidas que garanticen su cumplimiento y puedan demostrarlo".

Dicho de otra manera: las escuelas tienen el deber de adoptar las medidas establecidas por la norma GDPR para que se cumplan dichos principios y que esa 'responsabilidad proactiva' resulte efectiva. Esto implica que tienen que estar preparadas para solicitar datos personales cuando así lo requiera la situación y documentar su uso, sin olvidar las medidas para su protección. Desde el punto de vista legal esto se conoce como 'privacidad por defecto' y significa que los sistemas de tratamiento de los colegios se configurarán de forma restrictiva y sólo las personas implicadas decidirán qué aspectos de su información desean hacer públicos.

Un delegado para la protección de datos

Una nueva figura aparece en escena, la del Delegado de Protección de Datos. Obligatoria para prevenir situaciones de incumplimiento, " informará, asesorará y supervisará el tratamiento de datos que lleven a cabo los centros educativos y que éstos o las administraciones educativas habrán de designar" detalla Prieto.
Además de garantizar el cumplimiento de la legislación en materia de protección, el Delegado de Protección de Datos podrá desempeñar otras actividades como las relacionadas con labores de asesoramiento, auditorias o formación de personal.
El responsable del área de menores de la Agencia Española de Protección de Datos , recuerda que se "deberá adecuar la información que se ofrece a los interesados, o a sus padres si se trata de menores de 14 años a lo que dispone el reglamento, adecuar los procedimientos para atender el ejercicio de sus derechos de los interesados y articular el procedimiento para notificar a las autoridades las brechas de seguridad que puedan tener".

Registro de actividades

Con esta reforma, se mejoran los derechos de privacidad de docentes, alumnos y personal que trabaje en centros de enseñanza porque se les garantiza el acceso a sus datos, traslado u oposición a que terceros accedan a ellos.
La obligación de documentar procesos y proteger la información también será mayor. Elaborarán informes y presentarán pruebas que demuestren que cumplen con lo establecido por la ley (caso de irregularidad lo comunicarán en un plazo máximo de 72 horas). Por último, los registros de actividades cobran fuerza. La obligación de inscribir los ficheros en la Agencia Española de Protección de Datos se sustituye por esta modalidad que implica describir con detalle qué datos se recogen, con qué fin se tratan, a quién se comunican, cómo se preserva su seguridad y cuándo se podrán suprimir.

Os recomendamos laGuía para Centros Educativos elaborada por la Agencia Española de Protección de Datos. En ella se ha incluido un decálogo para el uso correcto de los datos personales que os será de utilidad.

# data[].attributes.attachment_link.title
GDPR en Centros Educativos: ¿cómo afectará a la protección de datos?

# data[].attributes.attachment_link.description
Este viernes 25 de mayo entra en vigor el nuevo Reglamento General de Protección de Datos o normativa GDPR, que sustituye a la actual Ley Orgánica de Protección de Datos que se aplicará a los 28 países de la Unión Europea.

# data[].attributes.headline
La Ley de protección de datos y los sistemas de información en los colegios

# data[].attributes.subject
La Ley de protección de datos y los sistemas de información en los colegios

# data[].attributes.attachment_link.readable_text
La Ley de protección de datos en los colegios y centros educativos no se circunscribe a una simple normativa. Afecta a varios aspectos muy distintos y a los sistemas de información del colegio, lo que quiere decir que es una cuestión bastante mas medular de lo que puede parecer.

Ley de Protección de datos de carácter personal (LOPD) fue aprobada en 1999 y la Agencia de protección de Datos (AEPD) es la autoridad estatal de control independiente, encargada de velar por el cumplimiento de la normativa, garantizando y tutelando el derecho fundamental a la protección de datos de carácter personal de los ciudadanos. Es importante saber que las imágenes se consideran datos protegidos en tanto en cuanto sirven para identificar a una persona física.

Los datos de carácter personal se dividen en tres categorías con sus correspondientes niveles de seguridad:

A: Datos personales básicos y generales, les corresponde un nivel de seguridad Básico

B: Datos personales de infracciones, agencia tributaria de morosidad, bancarios, seguridad social, personalidad, que les corresponde un Nivel de seguridad media

C: Datos de ideología, religión, afiliación sindical, vida sexual, policiales o violencia de género que les corresponde un Nivel de seguridad máximo

En este marco, las principales obligaciones que tienen que tener en cuenta un colegio para el cumplimiento de la Ley son las siguientes:

1.-La primera obligación será el registro del uno o varios ficheros en la Agencia de protección de datos. Como mínimo fichero de datos personales de alumnos, padres y personal del centro. Eso se puede hacer online a través de este formulario en la propia Agencia de Protección de Datos: https://sedeagpd.gob.es/sede-electronica-web/vistas/formNOTA/servicioNOTA.jsf

2.- En el proceso de matriculación, donde se recaban los datos, es fundamental informar a los padres del uso y existencia de esos ficheros y que estos den su autorización para los usos que se vayan a realizar (web del colegio, cesión a terceros para determinados usos,..etc.)

3.-Los ficheros de datos de menores de edad deben de contar con el consentimiento de progenitores o tutores legales sin que reciban un tratamiento especial por ser menores. Los datos académicos corresponden a un nivel de seguridad medio. Los mayores de 14 años pueden prestar ellos mismos el consentimiento para cierto tipo de datos. Por supuesto hay que otorgar de forma efectiva los derechos de acceso, rectificación u oposición de las personas físicas que soliciten este derecho.

4.- El régimen sancionador es fuerte, con lo que es muy importante para el colegio no incurrir en una infracción. Además la imagen del centro o de las personas puede tener graves perjuicios. Por tener unas cifras y saber de qué estamos hablando estas son las principales sanciones

Leves: entre 600 y 60.000€ aprox. Corresponden a no solicitar la inscripción del fichero, recopilar datos sin informar previamente, no atender a los derechos de rectificación o cancelación ni a los requerimientos de la Agencia de Protección de datos

Graves: de 60.000 a 300.000 aprox. Corresponden a no inscribir el fichero, no tener consentimiento para recabar datos, utilizarlos para otra función, no permitir acceso, rectificación, no seguir las garantías de la AEPD, mantener ficheros sin garantía de seguridad

Muy graves: de 300.000 a 600.000. Crear ficheros de datos especialmente protegidos, recogida de datos engañosa, comunicación de datos, tratamiento ilegitimo, transferencia de datos a países que no cumplen normativa o no atender sistemáticamente los requerimientos de la AEPD

La custodia de los datos, a través de unas adecuadas medidas de seguridad, resulta fundamental ya que una filtración de datos podría originar actuaciones de oficio contra el centro como ha ocurrido en alguna ocasión.

5- Todo colegio o centro educativo tiene que tener redactado el Documento de Seguridad.

Este es un documento interno que recoge todas las normas, procedimientos de seguridad, medidas y reglas encaminadas a garantizar la seguridad de los datos y debe de estar elaborado por el responsable del fichero y encargado del tratamiento de los datos. Igualmente debe de informarse a todo el personal y es de obligado cumplimiento por este. Como mínimo debe de comprender detalles de recursos protegidos, medidos de seguridad, normas y procedimientos, funcionales y obligaciones del personal, estructura de los ficheros, procedimientos de notificación y gestión ante incidencias

Para los niveles medios y altos se exige además un responsable de seguridad y medidas para revisión periódica.

Aquí se puede ver una guía de documento de seguridad:
https://www.agpd.es/portalwebAGPD/canalresponsable/guia_documento/index-ides-idphp.php
Entre los aspectos más importantes del documento de seguridad, esta que la validación de usuarios debe de ser personal e inequívoca, debe de existir un registro de acceso y cada usuario solo debe de acceder a los datos que son necesarios para el desempeño de su puesto. Estas son características que vienen dadas por el programa o plataforma de gestión del colegio.

6.- Medidas de seguridad adecuadas y ubicación de los datos: El documento de seguridad lleva implícito una serie de medidas de seguridad. En el caso de que los datos se hallen en la Nube el colegio tendrá que asegurarse que los datos se hallan en España o en la Unión Europea (y no bastara que el fabricante del software este en España o un Pais de legislación perecida, es decir, Unión Europea. Algunas plataformas pueden usar Google u Amazon que normalmente no garantizan que sus datos estén en la Unión Europea.

Es importante considerar que una plataforma online simplifica mucho el cumplimiento de la Ley de Protección de datos, ya que incluye las medidas de seguridad, tratamiento de copias, acceso jerarquizado, registro de acceso. Resulta fundamental en estos casos que incluya protocolo seguro lo que significa que la información está cifrada. En este sentido la AEPD da su respaldo a Microsoft, reconociendo la solvencia y las garantías de los servicios corporativos de Microsoft en la Nube en lo relativo a transferencias internacionales de datos. Igualmente la AEPD afirma que los contratos de Microsoft ofrecen garantías adecuadas para que los clientes confíen sus datos personales a la compañía en el marco de los servicios corporativos de Office 365, Dynamics CRM Online y Microsoft Azure. Microsoft es el primer y único proveedor que recibe este reconocimiento de la Agencia de Protección de Datos: http://www.agpd.es/portalwebAGPD/resoluciones/autorizacion_transf/auto_transf_2014/common/pdfs/TI-00032-2014_Resolucion-de-fecha-09-05-2014_de-MICROSOFT-CORPORATION_a-Estados-Unidos.pdf
https://news.microsoft.com/es-es/2014/06/06/aepd-servicios-cloud-microsoft/#sm.00110oxtl17i4d6zsqd13of55csw7
7.- Los sistemas de vídeo vigilancia no deben de grabar fuera del recinto del colegio y estar debidamente identificadas las cámaras. También tienes que estar identificados e informados los sistemas de control laboral o control de acceso general al centro o a determinados recintos (como comedor) a través de huella digital.

# data[].attributes.attachment_link.title
La Ley de protección de datos y los sistemas de información en los colegios -

# data[].attributes.attachment_link.description
La Ley de protección de datos en los colegios y centros educativos no se circunscribe a una simple normativa. Afecta a varios aspectos muy distintos y a los sistemas de información del colegio, lo que quiere decir que es una cuestión bastante mas medular de lo que puede parecer.

# data[].attributes.headline
Orientaciones para centros educativos sobre protección de datos

# data[].attributes.subject
Orientaciones para centros educativos sobre protección de datos

# data[].attributes.attachment_link.readable_text
En este artículo analizaremos el "Informe sobre la utilización por parte de profesores y alumnos de aplicaciones que almacenan datos en nube con sistemas ajenos a las plataformas educativas", de la Agencia Española de Protección de Datos (AEPD).

Inspección en el sector educativo

El uso de las tecnologías en las aulas en los últimos años ha tenido un aumento sin precedentes, lo que unido a la especial vulnerabilidad de los menores y al gran volumen de datos personales susceptible de tratamientos (8,1 millones de estudiantes no universitarios en España según datos del Ministerio de Educación), llevó a la AEPD a realizar una inspección sectorial de oficio sobre servicios de cloud computing en el sector educativo en el año 2015. Entre las conclusiones de dicha inspección, se detectó:

la utilización de diversas aplicaciones informáticas instaladas generalmente en los dispositivos móviles de profesores y alumnos, que podían registrar datos de carácter personal, incluidas imágenes y calificaciones,

y la utilización de servicios o herramientas de almacenamiento en nube de documentos y ficheros en general, también al margen de las plataformas educativas de los centros, para compartir información entre alumnos, entre profesores, o entre profesores y alumnos.

Cuestionario

Siguiendo las recomendaciones recogidas en la referida inspección, la AEPD impulsó una iniciativa encaminada a detectar las posibles implicaciones de protección de datos derivadas de la utilización, por parte de los docentes y alumnos, de aplicaciones con almacenamiento de datos en nube, distintas de las plataformas educativas contratadas por los centros. Para ello se realizó un cuestionario en línea que recabara información sobre:

Utilización de aplicaciones para el aula en dispositivos tales como móviles, tabletas o portátiles, tanto por los alumnos a instancias de los profesores, como por los propios profesores.

Utilización de herramientas de almacenamiento en nube (tipo Dropbox, Google Drive, etc.), tanto por los alumnos a instancias de los profesores, como por los propios profesores.

Utilización de redes sociales (Facebook, Instagram, etc.), para trabajos colaborativos u otro tipo de trabajos en el aula.

Utilización de correo electrónico para el intercambio de información entre alumnos, padres y profesores, distinto de la mensajería propia de la plataforma educativa.

Existencia en los centros de normas internas y procedimientos con relación al uso de estas aplicaciones.

Decálogo de recomendaciones

Después de analizar las respuestas al cuestionario, la AEPD elaboró un decálogo de recomendaciones a los centros. En general, se recuerda a los centros educativos que deben cumplir la normativa de protección de datos en todos los tratamientos de datos personales que se efectúen en el Centro, incluyendo los que se producen como consecuencia de la llegada de las tecnologías a las aulas.

Por ello, deben utilizarse únicamente aquellas aplicaciones que ofrezcan información claramente definida sobre los tratamientos efectuados, las finalidades de los mismos y sus responsables, así como sobre la ubicación de los datos, el periodo de retención, y las garantías con relación a su seguridad. Y los profesores deben solicitar autorización al centro para su uso. Una solicitud de autorización conllevará la evaluación de la aplicación desde el punto de vista de la seguridad de la información y la consiguiente autorización o denegación por parte del Centro.

Los centros deben informar a los padres o tutores del comienzo de la utilización de la tecnología en las aulas, así como de las Apps que traten datos personales de los alumnos y su funcionalidad. Y las aplicaciones que se utilicen deben permitir el control, por parte de los tutores o profesores, de los contenidos subidos por los menores, en especial de los contenidos multimedia (fotos, vídeos y grabaciones de voz de los alumnos).

También deben establecerse programas de concienciación orientados hacia la protección de los datos personales, dirigidos a profesores y alumnos, sobre la importancia del uso correcto de aplicaciones. Para ello son de utilidad los materiales que ha publicado la AEPD, en colaboración con el INTEF, en la web tudecideseninternet.

Por ejemplo, al utilizar sistemas de almacenamiento de documentos en nube tipo Dropbox, iCloud o Google Drive, se debe evitar incluir datos personales sensibles, tales como datos relativos a la salud, contraseñas, datos bancarios, material audiovisual de contenido sensible, etc. Se puede ampliar la información sobre este tema en la Guía para clientes que contraten servicios de cloud computing que también ha publicado la AEPD.

Como norma general, cuando exista en el Centro una plataforma educativa que permita la interacción
entre alumnos, y entre estos y los profesores, se aconseja que se utilice prioritariamente, sin establecer mecanismos de comunicación externos.

El informe finaliza con unas orientaciones a los centros para evaluar aplicaciones desde el punto de vista de los datos personales y de la seguridad de la información.

Más información

Se puede ampliar la información sobre todos estos temas en la Guía para centros educativos que la AEPD tiene publicada en la web Tudecideseninternet.

En esta guía también se analizan las novedades del nuevo Reglamento General de Protección de Datos (RGPD), que entrará en vigor el 25 de mayo de 2018. En términos prácticos, el RGPD requiere que los responsables analicen qué datos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo. A partir de este conocimiento deben determinar de forma explícita la manera en que aplicarán las medidas necesarias, asegurándose de que esas medidas son las adecuadas para cumplir con el RGPD y de que pueden demostrarlo ante los interesados y ante las autoridades de supervisión.

Una vez que sea de aplicación el reglamento, se llevará a cabo una actualización de la guía.

# data[].attributes.attachment_link.title
Orientaciones para centros educativos sobre protección de datos - INTEF

# data[].attributes.attachment_link.description
En este artículo analizaremos el "Informe sobre la utilización por parte de profesores y alumnos de aplicaciones que almacenan datos en nube con sistemas ajenos a las plataformas educativas", de la Agencia Española de Protección de Datos (AEPD). Inspección en el sector educativo El uso de las tecnologías en las aulas en los últimos años ha ...

# data[].attributes.attachment_link.title
Protección de datos para centros educativos - Ayuda RGPD & LOPD

# data[].attributes.body
Si la grabación de las imágenes se produjera por el centro escolar con fines educativos, como trabajos
escolares o evaluaciones, el centro o la Administración educativa estarían legitimados para dicho tratamiento sin necesidad del consentimiento de los alumnos o de sus padres o tutores. Cuando la grabación de las imágenes no se corresponda con dicha función educativa, sino que se trate de imágenes de acontecimientos o eventos que se graban habitualmente con fines de difusión en la revista escolar o en la web del centro, se necesitará contar con el consentimiento de los interesados, a quienes se habrá tenido que informar con anterioridad de la finalidad de la grabación, en especial de si las imágenes van a estar accesibles de manera indiscriminada o limitada a la comunidad escolar.
[Para más información consulta el decálogo V. C de la guía sectorial AEPD].

# data[].attributes.attachment_link.readable_text
Ahora que llega fin de curso, no está de más repasar uno de los post que más lecturas tuvo el año pasado. Se trata precisamente de algunos comentarios al respecto de lo que muchos docentes viven en su día a día a la hora de tratar con los datos personales de sus alumnos.

El día a día de estos centros, lleva a manejar gran cantidad de datos de los alumnos y sus padres, y muchas veces surgen dudas sobre si esta gestión se está llevando a cabo de forma adecuada.

Vamos a repasar algunas de estas dudas que suelen plantearse los profesores al respecto de como están tratando estos datos.

¿Puedo comunicar las notas de los alumnos a personas distintas de sus padres o tutores?
En principio, tal como plantea el artículo 5.1 apartado f, del Reglamento de Desarrollo de la LOPD (1720/2007 de 21 de diciembre), las calificaciones escolares serían datos personales de los alumnos, ya que estas nos aportan información sobre los mismos. Los datos personales no pueden comunicarse sin consentimiento de los padres o tutores (o de los alumnos mismos si estos son mayores de 14 años) salvo que exista un consentimiento previo.

La fuerza de la costumbre y los horarios laborales actuales hace que en ocasiones sean otros familiares quiénes acudan a recoger las notas de los alumnos (abuelos, tíos, etc), por imposibilidad de hacerlo los propios padres. Como siempre, hay que usar el sentido común, pero no estaría de más que los padres autorizaran a terceros a recoger estas calificaciones si saben que no podrán ellos acudir.

Errores en el uso de la copia oculta en comunicaciones a los padres.

Los profesores usan cada vez más el correo electrónico como forma de comunicación con los padres de los alumnos. Hay que recordar que existen en todos los gestores de correos la posiblidad de enviar mensajes ocultando las direcciones a las que se hacen llegar. De esta forma evitamos que las direcciones de los padres de los alumnos lleguen de forma indiscriminada a todos los remitentes.

¿Puedo colgar en la web del centro o en redes sociales fotografías de los alumnos?
En este caso estaríamos ante una situación análoga a la anterior. Si no existe un consentimiento previo, no podríamos comunicar a terceros (visitantes de la web, de redes sociales, etc), imágenes de las actividades que el centro lleve a cabo con los menores.

A principio de curso se suele hacer llegar a los padres una comunicación para recoger el consentimiento a tal fin. El problema viene cuando en esta comunicación no se especifica el destino de las imágenes recogidas o se recoge un uso previsto que finalmente no es el único. Para más abundamiento sobre el tema, existe un interesante informe de la Agencia de Protección de Datos sobre el tema (Informe 0194/2009 )

También es importante tener en cuenta que muchas veces los autores de estas fotografías son los propios padres que pueden tener acceso a estas actividades escolares. Nos encontramos muchas veces con que se distribuyen a través de redes sociales o de grupos de padres en aplicaciones de mensajería (Whatsapp, Telegram, etc), imágenes de los menores. Si como padres tenemos intención de fotografiar a nuestros hijos y colgar estas imágenes en nuestro perfil personal, no está de más editar estas fotografías y difuminar la cara de los demás menores. Al resto de padres puede que no le haga ninguna gracia ver a sus hijos en fotografías de terceros en Facebook, por ejemplo. A mi no me gustaría.

¿Qué ocurre cuando hay un tablón de anuncios en la puerta del colegio?
En muchas ocasiones, los centros escolares tienen un tablón de anuncios en la fachada del mismo donde se dan a conocer notificaciones sobre actividades o asignaciones de becas y ayudas a los alumnos. En especial en estas últimas, se publicita el nombre completo del alumno y el porcentaje de ayuda otorgada o su denegación. En este caso estaríamos ante una comunicación de datos a terceros no autorizados, ya que cualquiera que pase por delante de la fachada, puede tener acceso a esta información.

¿Puedo dar los datos personales de unos padres de un alumno a otros padres?
En situaciones de conflicto, los padres pueden pedir al centro o al profesor, los datos de otros padres de alumnos implicados en alguna incidencia. Al margen de que el profesor, siguiendo su ética profesional, solucione el conflicto directamente con los alumnos, en ningún caso debe comunicar datos de unos padres o de un alumno a otros sin su consentimiento. En el caso en que sea realmente necesaria esta comunicación, se deberá recabar primero la autorización. Una situación similar se puede dar en caso de padres divorciados en los cuales uno de ellos no tenga permiso para acceder al menor. Se deberá en todo caso obtener el permiso del padre que tenga la custodia efectiva.

Como vemos, la mayoría de dudas que presentan los docentes, están relacionadas con la comunicación de los datos. Otro tipo de incidencias, a nivel más organizativo (custodia de los datos, seguridad física, accesos, etc), son cuestiones que afectarían más al centro como organización.

# data[].attributes.attachment_link.title
Tratamiento de datos de alumnos en centros escolares - José Manuel Sanz

# data[].attributes.attachment_link.description
Ahora que llega fin de curso, no está de más repasar uno de los post que más lecturas tuvo el año pasado. Se trata precisamente de algunos comentarios al respecto de lo que muchos docentes viven en su día a día a la hora de tratar con los datos personales de sus alumnos.

# data[].attributes.headline
¿Qué datos pueden recabar los centros educativos?

# data[].attributes.subject
¿Qué datos pueden recabar los centros educativos?

# data[].attributes.body
La LOE legitima a los centros a recabar datos de carácter personal para la función docente y orientadora de los alumnos en referencia a:
- El origen y ambiente familiar y social.
- Las características o condiciones personales.
- El desarrollo y resultados de su escolarización.
- Las circunstancias cuyo conocimiento sea necesario para educar y orientar a los alumnos.