¿Están obligados las academias y centros educativos cumplan con las regulaciones de protección de datos? ¿Cómo pueden adaptarse de manera efectiva a la Ley Orgánica de Protección de Datos (LOPD) y al Reglamento General de Protección de Datos (RGPD)? ¿Cuáles son las responsabilidades asociadas con el cumplimiento de estas normativas? En este documento, te ofrecemos una guía completa que te ayudará a implementar las medidas de protección de datos de manera adecuada en el entorno educativo, asegurando el cumplimiento normativo y la seguridad de la información. ¡Descubre todo lo que necesitas saber para adaptar la normativa en tu academia o centro educativo!
¿Están obligados las academias a cumplir la LOPD?
El cumplimiento de la Ley de Protección de Datos en academias y centros educativos se presenta como una responsabilidad ineludible, dada la cantidad de información que gestionan. Estos datos abarcan desde los registros de los estudiantes, los empleados, ya sean profesores/as o de administración, y en muchas ocasiones, hasta datos sensibles relacionados con la salud de los alumnos/as debido a alergias, necesidades de atención especial, o datos sociales.
Además, la adaptación a las normativas de protección de datos en entornos educativos impone, en muchas ocasiones, requisitos más rigurosos. Esto se debe a que los colegios, institutos y academias manejan información de menores de edad, así como datos de sus padres o tutores legales y de su personal.
Es fundamental que las regulaciones de protección de datos también contemplen aspectos como la publicación de calificaciones, el acceso de los padres a la información de alumnos mayores de edad, la utilización de imágenes de estudiantes en el sitio web o redes sociales de la institución, y la grabación de actividades por parte de los docentes, entre otros.
Normativa de protección de datos para academias y centros educativos
Existen tres normativas principales que afectan a la hora de aplicar la normativa de protección de datos a los centros educativos:
- Reglamento General de Protección de Datos o RGPD.
- Ley de Protección de Datos y Garantía de Derechos Digitales o LOPD-GDD.
- Leyes de Andalucía que regula la Educación
La Protección de Datos en las academias y centros educativos es una cuestión crucial en la era digital actual. En esta guía artículo, exploraremos quién es el responsable de esta información sensible. Los centros educativos manejan una amplia gama de datos, desde información personal de estudiantes y profesores hasta registros académicos, datos de salud y detalles de contacto. Es fundamental que la recopilación de estos datos se base en una legitimación correcta para que consentimiento de los interesados sea válido. Por ello, el deber de informar es especialmente importante en este caso. A
¿Quién es el responsable de la protección de datos en centros educativos?
La responsabilidad de la protección de datos será diferente si se trata de un centro público o privado. En el segundo caso, la responsabilidad recaerá sobre el titular del negocio o administrador de la empresa. En los centros públicos la responsable es la Administración Pública. Es decir, la Conserjería de Comunidad Autónoma con competencia en la materia.
¿Qué datos personales se tratan comúnmente en una academia?
En la formación no reglada, principalmente se recopilarán datos identificativos como nombres, apellidos, información de contacto, y en el caso de menores, los datos de sus padres o tutores legales. Además, en algunas situaciones, se llevará a cabo el tratamiento de datos de salud para estudiantes que requieran atención especial debido a condiciones físicas. Por último, se realizará el procesamiento de información relacionada con el progreso educativo en el contexto de la formación recibida.
¿Y en un centro educativo público?
En los centros públicos, se manejan datos similares a los de los centros privados, aunque con una mayor incidencia en el tratamiento de datos especialmente protegidos debido a las obligaciones legales relacionadas con la atención a la diversidad. En este contexto, es común encontrar información relacionada con:
- Circunstancias sociales, que incluyen alojamiento, familia, vivienda, propiedades, posesiones, intereses y estilo de vida, así como la pertenencia a clubes, asociaciones, licencias, permisos y autorizaciones, entre otros.
- Datos de salud del menor, que pueden abordar alergias, discapacidades, intolerancias y altas capacidades.
- Datos generados en la propia actividad del centro, como informes de orientación, partes médicos e informes sanitarios.
Cómo recabar correctamente el consentimiento en una centro de formación
El tratamiento de datos en una academia o centro educativo se legitima ya sea por el cumplimiento de un contrato de formación (no reglada) o por la obligación legal de escolarizar al alumno. Por lo tanto, la obtención de consentimiento expreso no es obligatoria. No obstante, es esencial cumplir con la responsabilidad de proporcionar información adecuada a los interesados/as.
Como se ha mencionado, cuando se recopilan datos especialmente protegidos, como información de salud, datos sociales o creencias religiosas, se requerirá el consentimiento expreso del interesado, tutor o responsable legal. Este consentimiento debe conservarse como prueba de su obtención.
Los mayores de 14 años podrán conceder su consentimiento. Para los menores de 14, serán los padres y madres o tutores/as los encargados de prestarlo.
El consentimiento se obtendrá en el primer intercambio de información con el alumno o su tutor, ya sea en las prescripciones o durante el proceso de matriculación. Cualquier procesamiento de datos personales que se recoja o se genere en el transcurso de la enseñanza será legítimo siempre que sea esencial para la adecuada formación de los alumnos. Cuando un dato no sea necesario para el logro efectivo de la formación, se requerirá el consentimiento expreso del interesado/a.
La información que debe incluir es:
- Identificación del responsable del tratamiento;
- Finalidad del tratamiento;
- Base legítima principal del tratamiento;
- Especificar los derechos del alumno/a;
- Destinatarios o las categorías de destinatarios de los datos;
- Dónde o cómo poder ampliar la información básica de Protección de Datos.
¿Cómo gestionar los datos personales de los profesores/as?
En los centros educativos privados, es importante informar a los profesores sobre sus derechos en calidad de empleados, utilizando la misma información proporcionada a los alumnos. En este contexto, la base legal será el cumplimiento del contrato laboral, y es esencial detallar todas las finalidades de los datos recopilados.
Además, los profesores de un centro privado deben comprometerse a mantener la confidencialidad de la información de los alumnos. Se recomienda incluir esta responsabilidad en un manual de buenas prácticas y uso de herramientas de gestión, donde queden registradas las obligaciones y derechos del personal laboral en relación al tratamiento de datos.
En los centros educativos públicos, las obligaciones que acabamos de mencionar recaerán sobre la conserjería que gestione la información del empleado/a público.
¿Qué tipo de datos pueden publicar los centros educativos?
Los centros educativos y academias deben ser cautelosos al decidir qué datos divulgar públicamente, evitando la publicación de información innecesaria. La clave reside en compartir únicamente la cantidad mínima requerida para facilitar una comunicación efectiva. Además, se debe dar especial consideración al medio y, sobre todo, a la forma en que se comparten estos datos, ya que estos factores son de suma importancia.
Los datos de los estudiantes pueden ser divulgados de manera física en un tablón ubicado dentro del recinto escolar. También es posible realizarlo en una plataforma web, siempre que el acceso a estos datos se haga de manera privada, es decir, mediante el uso de un usuario y contraseña.
Para la publicación de notas, las calificaciones de los estudiantes deben ser compartidas exclusivamente con los propios alumnos y sus padres, evitando su exposición en tablones de anuncios o su comunicación verbal en el aula.
En el contexto de una plataforma digital, estas calificaciones solo deben estar disponibles para los estudiantes y sus padres o tutores legales.
Sin embargo, en el caso de que un alumno sea mayor de edad y sus padres asuman los costos educativos o de manutención (en situaciones de padres separados, por ejemplo), los padres pueden solicitar acceso a las calificaciones, ya que se considera que tienen un interés legítimo en el progreso de sus hijos mayores de edad, relacionado con su responsabilidad financiera.
En el caso de listas de admitidos/as, únicamente se mostrará el resultado, sin revelar ninguna otra información utilizada en el proceso de evaluación, ya que es probable que se trate de datos sensibles, como información social o médica, entre otros.
Cuando se capturan imágenes de alumnos, profesores y familiares durante la celebración de un evento, es importante plantearse si la captura es necesaria para conseguir el fin perseguido con la formación. Si la respuesta es afirmativa, no será necesario obtener un consentimiento previo.
Una vez superado este primer filtro, es crucial considerar qué se hará con esas imágenes. Si se utilizarán para fines internos, como memorias, no se requerirá ningún paso adicional. En este caso, los docentes podrán grabar a los estudiantes con fines educativos, y el acceso estará limitado a alumnos, padres y profesores.
Sin embargo, si se planea publicar las grabaciones en redes sociales o en el sitio web de la institución, será necesario obtener el consentimiento previo. Si el estudiante es menor de 14 años, sus padres o tutores otorgarán el consentimiento; si tiene 14 años o más, el estudiante mismo podrá hacerlo.
En situaciones en las que las imágenes sean capturadas por padres, tutores legales u otros familiares durante un evento escolar y se utilicen con fines domésticos, la normativa de protección de datos no será aplicable.
Es importante recordar que, en el contexto de publicación en redes sociales o sitios web, se deben especificar los siguientes detalles:
- Tipos de datos que se publicarán
- Indicar las plataformas específicas donde se publicarán, como Facebook, Instagram, etc., o el sitio web de la escuela.
- Finalidad: Explicando el propósito de la publicación, como compartir logros escolares o eventos educativos.
- Quién podrá acceder a las imágenes: Aclarar que la publicación estará disponible para el público en general o restringida a ciertos grupos, como miembros de la comunidad escolar.
- Plazo de retención de las imágenes: debes indicar durante cuánto tiempo se mantendrán las imágenes publicadas antes de ser eliminadas o archivadas.
Este enfoque asegura que tanto la privacidad como la transparencia se mantengan en el proceso de captura y publicación de imágenes en contextos educativos.
¿Es necesario nombrar un Delegado de Protección de Datos en un centro de formación?
En la Formación Reglada, la contratación o designación de un DPO es obligatoria. Ya se trate de un centro público o privado. Esta obligación viene dada por la LOPD en su articulo 34.
Los centros educativos o academias donde se imparta Formación No Reglada están exentos de designar un DPO siempre que el volumen de datos tratados no tenga un volumen significativo. En cualquier caso, para despejar dudas, pueden en ponerse en contacto con nosotros y ver su caso específico.
OTROS PROCEDIMIENTOS A TENER EN CUENTA
1. ANÁLISIS DE RIESGOS
Una de las principales responsabilidades en el ámbito de la protección de datos para los centros educativos es la realización de análisis de riesgos y, cuando sea pertinente, la evaluación de impacto en protección de datos (EIPD).
Previo a cualquier procesamiento de datos, el responsable llevará a cabo un análisis de riesgos que evaluará la probabilidad de materialización de dichos riesgos y su impacto en los alumnos/as. Este análisis también servirá de base para diseñar e implementar las medidas de seguridad necesarias, con el objetivo de minimizar las posibilidades de riesgo y reducir su impacto, en caso de que ocurra.
Estamos hablando de riesgos que pueden afectar la integridad, disponibilidad, fiabilidad y confidencialidad de los datos, ya sean físicos o digitales, y tanto si son accidentales como intencionados.
La EIPD se llevará a cabo cuando el tratamiento de datos personales involucre información sensible y cuando el análisis de riesgos determine un nivel alto de riesgo para los derechos y libertades de los interesados en caso de que se materialice alguna amenaza. La EIPD es un análisis de riesgos más detallado y enfocado en el impacto sobre la vida de los interesados.
Las conclusiones de estos análisis servirán como base para que los centros educativos diseñen e implementen medidas técnicas y organizativas necesarias para asegurar la seguridad, integridad, disponibilidad y confidencialidad de los datos personales que gestionan. Estas medidas están destinadas a prevenir el acceso no autorizado a los datos, evitar su pérdida, destrucción o filtración por parte de terceros no autorizados.
2. EMPRESAS EXTERNAS
Es habitual que tu academia subcontrate servicios en los que una empresa externa accede a los datos para la prestación de un servicio. La Ley Orgánica de Protección de Datos (LOPD) establece la necesidad de celebrar un contrato que defina la relación y las responsabilidades de ambas partes..
Las empresas habituales que deben firmar este contrato suelen ser:
- Empresa de Limpieza;
- Asesoría Laboral, fiscal, jurídica;
- Mantenimiento informático;
- Empresas de alojamiento Web, diseño web, etc;
- Mantenimiento de Videovigilancia;
Es importante destacar, la peculiaridad e importancia que se da en los centros educativos en este aspecto. A la hora de elegir una herramienta para la gestión de las clases online deberemos poner especial atención de si estas empresas cumplen la normativa europea de Protección de Datos. Nos referimos a herramientas como Office 365, Google Classroom, Teams, Zoom, etc.
3. PLAZO DE CONSERVACIÓN DE LOS DATOS
En ciertas ocasiones, la duración de la retención de datos personales en centros educativos se determina mediante un contrato que rige la relación. Por esta razón, es crucial comprender todos los términos de cualquier contrato suscrito con el centro educativo. Para otros escenarios, la Agencia Española de Protección de Datos (AEPD) recomienda establecer la responsabilidad del centro educativo en el contenido y la custodia de los datos. Dado la variedad de propósitos para los que se pueden recopilar, este protocolo interno permitirá establecer estándares y agilizar el proceso de tratamiento.
No obstante, la AEPD establece tres situaciones específicas. Los datos relacionados con los procesos de admisión deben ser eliminados al concluir los procedimientos de selección. Esto también se aplica a los exámenes de los estudiantes, que deben ser destruidos una vez finalizado el período de reclamaciones. Sin embargo, los registros académicos deben conservarse sin plazo determinado, garantizando así su disponibilidad para los estudiantes que los requieran una vez finalizados sus estudios.
Por otro lado, hemos de tener en cuenta los plazos de conservación para los datos relativos a la fiscalidad (6 años), videovigilancia (1 mes), datos relativos a los empleados/as (4 años para el registro jornada y 5 para temas relacionados con la salud).
4. REGISTRO DE ACTIVIDADES DEL TRATAMIENTO
Generalmente, los responsables del tratamiento deben mantener un documento conocido como el Registro de Actividades del Tratamiento (RAT).
Este requisito es de carácter obligatorio para centros educativos que cuentan con más de 250 empleados. No obstante, para academias con un número menor de empleados, puede haber circunstancias específicas que hagan necesaria la elaboración del RAT. Es importante destacar que es poco común que estas condiciones se apliquen a pequeños centros. A pesar de ello, siempre se recomienda crear el RAT, ya que proporcionará una visión transparente y precisa de cómo se gestionan los datos en tu negocio.
5. AUDITORIA DE PROTECCIÓN DE DATOS
Realizar una Auditoría de Protección de Datos de forma anual es un paso esencial para garantizar el cumplimiento normativo. El principio de responsabilidad proactiva, según el artículo 5 del RGPD, establece que el responsable del tratamiento debe aplicar medidas adecuadas para cumplir con la normativa y asegurarse de que se implementen y cumplan de manera efectiva, lo que subraya la importancia de la auditoría como herramienta esencial para verificar la idoneidad y la correcta implementación de dichas medidas.
Además, a medida que pasa el tiempo, las autoridades de control emiten nuevas directrices que deben ser incorporadas. Dado que la naturaleza humana puede llevar a una relajación de las medidas de seguridad y procedimientos con el tiempo, es fundamental realizar auditorías periódicas para prevenir posibles vulnerabilidades en la seguridad de los datos.
6. ATENCIÓN DE LOS DERECHOS
El empresario tiene la obligación de implementar un canal y un proceso para atender de manera adecuada los derechos. Estos derechos incluyen acceso, rectificación, eliminación, limitación del procesamiento, portabilidad de datos y el derecho a ser informado sobre la posibilidad de presentar una queja ante la Agencia Española de Protección de Datos (AEPD). El plazo para responder a estas solicitudes, en conformidad con la Ley Orgánica de Protección de Datos (LOPD), es de 30 días a partir de recibir la solicitud.
7. NOTIFICACIÓN DE BRECHAS DE SEGURIDAD
El Responsable del Tratamiento deberá establecer un procedimiento para informar de cualquier vulneración de seguridad que sufran los datos personales. Este procedimiento debe contener información detallada sobre el suceso, incluyendo todas aquellas acciones correctivas implementadas para prevenir la recurrencia de situaciones peligrosas en relación a los datos. La notificación debe ejecutarse en un período no mayor a 72 horas y se efectúa mediante medios telemáticos.
¿Necesitas un presupuesto?
Podemos ayudarte
También puedes llamarnos al 954 53 64 34