La protección de datos en la vuelta al cole

La protección de datos en los centros educativos

La Agencia Española de Protección de Datos, en adelante AEPD, cuenta con una Guía para centros educativos, en la que se realiza un análisis de los conceptos y principios básicos en materia de protección de datos, y su aplicación en los centros educativos, teniendo en cuenta que se encuentran afectados menores a los que se debe prestar una especial atención por parte de los poderes públicos.

Como punto de partida hay que tener en cuenta que por dato personal se entenderá toda información sobre una persona física identificada o identificable. En concreto, en el ámbito de la educación, podemos decir que serían datos personales el nombre y apellidos de los alumnos y de sus padres o tutores, su dirección, teléfono, correo electrónico, las imágenes de los alumnos, e incluso la profesión, estudios, lugar de trabajo o número de cuenta de los padres.

Cuando se trata de categorías especiales de datos —aquellos especialmente sensibles que revelan datos de la esfera más íntima y personal— los más frecuentes en los centros educativos son los referidos a la salud tanto física como mental de los alumnos, como, por ejemplo, datos de salud para el ejercicio de la función educativa como puede ser el TDAH, o datos de alergias alimentarias, o incluso los datos contenidos en los informes psicopedagógicos de los alumnos.

CUESTIÓN

¿Los datos sobre si un alumno cursa o no la asignatura de religión tienen la consideración de datos sensibles?

No, ya que el hecho de cursar la asignatura de religión no implica revelar su confesión religiosa.

El decálogo para un correcto uso de los datos personales en los centros educativos

La AEPD comienza la guía con un decálogo para el uso correcto de la información personal:

1.- En el ejercicio de sus funciones, los equipos directivos, profesores y personal administrativo de los centros educativos deben tratar datos personales de los alumnos y sus familiares con diligencia y con respeto a su privacidad, siempre considerando el interés y la protección de los menores. 

2.- Las Administraciones y los centros educativos son responsables del tratamiento de estos datos y deben formar a su personal sobre los principios básicos y la correcta gestión de los mismos.

3.- Por regla general, los centros educativos no necesitan el consentimiento de los titulares de los datos para su tratamiento, ya que este se justifica en el ejercicio de la función educativa y en la relación derivada de las matrículas de los alumnos. Sin embargo, es obligatorio informar a los interesados de manera clara y accesible sobre:

• La finalidad y licitud del tratamiento de los datos.
• La obligatoriedad o no de facilitar los datos y las consecuencias de la negativa.
• Los destinatarios de los datos.
• Los derechos de los interesados y cómo ejercerlos.
• La identidad del responsable del tratamiento.
• El Reglamento General de Protección de Datos (RGPD) amplía la información que debe proporcionarse a los titulares de los datos, incluyendo los datos de contacto del delegado de protección de datos y el plazo de conservación de los datos o los criterios para determinarlo.

4.- En los casos en los que sea necesario obtener el consentimiento de los alumnos o sus padres/tutores para el uso de sus datos personales con finalidades distintas a la función educativa, se debe informar claramente de cada una de ellas, permitiendo a los interesados oponerse a aquellas que consideren.

5.- Las Tecnologías de la Información y la Comunicación (TIC) son herramientas fundamentales para la gestión y el aprendizaje. Las Administraciones educativas y los centros deben conocer las aplicaciones que van a utilizar, su política de privacidad y condiciones de uso, rechazando aquellas que no ofrezcan información adecuada sobre el tratamiento de datos personales.

6.- Es necesario disponer de protocolos, instrucciones, guías y recomendaciones para el uso de las TIC por parte de los profesores, adaptando su enseñanza y uso al grado de desarrollo del niño.

7.- Las comunicaciones entre profesores y padres deben realizarse preferentemente a través de los medios proporcionados por el centro educativo, como plataformas educativas o correo electrónico del centro.

8.- El uso de aplicaciones de mensajería instantánea (como WhatsApp) no se recomienda, salvo en casos donde el interés superior del menor esté comprometido.

9.- Los profesores deben ser cuidadosos con los contenidos que suben a Internet y enseñar a los alumnos a valorar la privacidad propia y ajena. Además, también incidirán en enseñar a los alumnos que no se deben tomar fotos ni videos de otros alumnos o personal del centro sin su consentimiento y compartirlos en redes sociales.

10.- En eventos organizados por los centros educativos, es una buena práctica informar a los familiares sobre la posibilidad de grabar imágenes exclusivamente para uso personal y doméstico.

El tratamiento de datos personales en los centros educativos

Cualquier actividad en la que estén presentes datos personales constituye un tratamiento de datos. Un ejemplo de tratamiento de datos lo encontramos en la recogida de datos de los alumnos y de sus padres o tutores al inicio del curso escolar, en el mantenimiento y actualización del expediente del alumno, o en la grabación de imágenes a través de sistemas de videovigilancia.

La autorización a los centros educativos para recabar y tratar los datos personales de alumnos y padres o tutores cuando sea necesario para el desempeño de la función docente y orientadora lo encontramos en la Ley Orgánica 2/2006, de 3 de mayo, de Educación, en adelante, LOE.

Además, también podrán llevar a cabo tratamientos de datos en los siguientes supuestos:

• Cuando sea necesario para el cumplimiento de la relación jurídica que se establezca con la matrícula.
• Cuando exista consentimiento por parte de los interesados.
• Cuando pueda existir un interés legítimo que prevalezca sobre los derechos y libertades de los interesados.

Es importante tener en cuenta que no podrán tratarse más datos de los estrictamente necesarios para la finalidad perseguida, y deben ser tratados de manera lícita, leal y transparente.

¿Qué datos deben de facilitarse a los interesados?

Aun cuando no sea obligatorio recabar el consentimiento de los interesados, los centros educativos deben de facilitar información sobre:

• La existencia de un tratamiento de datos personales.
• La finalidad para la que se recaban los datos y su licitud.
• La obligatoriedad o no de facilitar los datos, y las consecuencias de negarse.
• Los destinatarios de los datos.
• Los derechos de los interesados y donde ejercitarlos.
• El responsable del tratamiento: el centro o la Administración educativa.
  
• Los datos de contacto del delegado de protección de datos.
• El plazo de conservación de los datos o lo criterios para determinarlo.

Esta información, que debe de facilitarse en un lenguaje claro y sencillo, puede llevarse a cabo, por ejemplo, en los formularios de admisión de los alumnos, al matricularse o a través de su propia web.

En su función de responsables del tratamiento, los centros y las Administraciones educativas deben adoptar las medidas de seguridad necesarias para garantizar la integridad, confidencialidad y protección frente a tratamientos no autorizados, así como para evitar su pérdida, destrucción o daño accidental. Además, también deberán tomar medidas para garantizar que cualquier persona que tenga acceso a los datos personales solo pueda tratarlos en el ejercicio de las funciones que tenga asignadas.

Con relación a los datos personales que pueden ser recabados por los centros educativos se pronuncia la LOE que legitima la recogida de datos referentes a:

• El origen y ambiente familiar y social. En este sentido la AEPD entiende que los centros educativos podrán recabar información sobre la situación familiar de los alumnos, y en el caso de que los padres estén separados o divorciados sobre quién ostenta la patria potestad y la guarda y custodia.
• Las características o condiciones personales. Pueden recabarse datos de salud en la medida en que los mismos sean necesarios para la función educativa.
• El desarrollo y resultados de su escolarización.
• Las circunstancias cuyo conocimiento sea necesario para educar y orientar a los alumnos.

Estos datos no podrán ser usados para fines distintos al educativo (docente y orientador), y todo aquel que tenga acceso a los mismos está obligado a guardar secreto (art. 5 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, LOPDGDD).

CUESTIÓN

¿Es legítimo recabar imágenes de los alumnos para incluir en el expediente académico?

Sí, podrán incluirse fotografías en los expedientes a efectos de identificar a cada alumno.

La LOE también recoge la obligación de los padres o tutores de colaborar en la obtención de los datos personales necesarios para el desarrollo de la función educativa, no siendo necesario el consentimiento previo.

Para aquellos casos en los que si es necesario el consentimiento de los interesados debe obtenerse el mismo de manera previa, siendo suficiente que el consentimiento se preste a principio de curso, no siendo por tanto necesario recabarlo para cada actividad que responda a la misma finalidad.

Dado el aumento de uso de dispositivos electrónicos en los centros educativos es importante destacar que el acceso al contenido de dispositivos con acceso a internet de los alumnos requiere el consentimiento del interesado, o, en caso de que sea menor de 14 años, de sus padres o tutores. La necesidad del consentimiento se exceptúa cuando existe un interés público, como, por ejemplo, si se pone en riesgo la integridad de algún alumno, pensemos en situaciones de ciberacoso, sexting, violencia de género...

CUESTIONES

1. ¿Pueden crear los profesores grupos de WhatsApp con sus alumnos?

Con carácter general no, sino que deberán llevar a cabo las comunicaciones a través de los medios y herramientas establecidas por el centro educativo. En determinadas situaciones, como un trabajo específico, actividades de refuerzo necesarias..., podría acudirse a estos grupos de manera excepcional, siendo aconsejable la participación en el grupo de algún tercero, padre, madre o tutor de alguno de los alumnos.

2. ¿Y con los padres de los alumnos?

Si bien lo recomendable es que las comunicaciones con los padres se realicen a través de los medios que el centro educativo ponga a disposición de los profesores, podría acudirse a alguna aplicación de mensajería instantánea cuando exista consentimiento de los padres, y sólo con los padres que hayan prestado su consentimiento.

La publicación de datos personales por parte de los centros educativos

Los datos personales tratados por los centros educativos en determinadas ocasiones deben ser publicitados, y en este sentido podemos citar como ejemplo:

• Las listas de alumnos admitidos. Debe darse publicidad a estas listas, si bien deberá hacerse de manera que no suponga un acceso indiscriminado, por ejemplo, podrían publicarse las listas en los tablones de anuncios del interior del centro, o a través de una web con acceso restringido a quienes hubiesen solicitado la admisión.
• Las relaciones de los beneficiarios de becas y otras ayudas públicas. Si bien esta información debe hacerse pública, no se publicarán el nombre y apellidos de manera conjunta con el DNI, NIE, pasaporte o documento equivalente. Además, si los requisitos exigidos son varios, se publicará el resultado final, pero no el parcial de cada uno de los requisitos.
• La relación de alumnos por clase. Podrán publicarse en los tablones de anuncios o en las entradas de las aulas durante un tiempo razonable para permitir el conocimiento por todos los interesados.
• El menú de los alumnos. En el comedor de los centros educativos podrán publicarse los diferentes menús, pero no un listado con nombre y apellidos de los alumnos y el menú que le corresponde a cada uno.

CUESTIONES

1. ¿Pueden publicitarse las calificaciones de los alumnos?

Las calificaciones de los alumnos deben de ser facilitadas a los propios alumnos y a sus padres, sin que el modo de notificárselas se encuentre regulado. En todo caso, deberá llevarse a cabo de forma que las misma no sean accesibles a terceros.

A pesar de ello, la AEPD recoge que sería posible notificar las calificaciones oralmente en clase, siempre que se eviten comentarios adicionales que puedan afectar personalmente al alumno.

2. ¿Pueden los padres solicitar acceso a las calificaciones de sus hijos cuando estos sean mayores de edad?

Podrían solicitar dicho acceso cuando sean los que estén asumiendo los gastos educativos o de alimentos, pues se entiende que en estos casos existe un interés legítimo. Cabe destacar aquí, que lo mismo ocurre en el caso de las ausencias escolares, ya que los padres podrán ser informados del absentismo escolar de los hijos mayores de edad cuando sean los que asuman los gastos de educación y alimentos.

El tratamiento de las imágenes de los alumnos

Dada la facilidad que existe en la actualidad para obtener imágenes o grabaciones por parte de cualquier persona que cuente con un teléfono móvil, se plantean muchas dudas acerca de la captación de dichas imágenes, por ejemplo, en la celebración de actos o eventos escolares.

Cuando la grabación de las imágenes se lleva a cabo por el propio centro escolar, y con fines educativos, el tratamiento de datos sería legítimo y no necesitaría el consentimiento de los padres. 

Sin embargo, en los casos en los que la captación de imágenes se haga con fines divulgativos, sería necesario contar con el consentimiento de los interesados.

Cuando sean los padres los que realicen las grabaciones, normalmente en eventos festivos, deportivos... se entiende que las mismas se corresponden con una actividad exclusivamente personal y doméstica, estando excluidas de la aplicación de la normativa de protección de datos. En el caso de que los familiares difundan las imágenes fuera del ámbito privado, por ejemplo, compartiéndolas en alguna red social en abierto, serían responsables por la comunicación de imágenes a terceros que no podría realizarse sin consentimiento.

CUESTIÓN

¿Pueden unos padres negarse a la toma de imágenes de sus hijos en un evento de un centro educativo?

No, el centro educativo debe informar a los padres de que la toma de imágenes es posible como actividad familiar y para uso personal y doméstico.

En último lugar hay que destacar que la LOE autoriza a los centros educativos a elaborar, aprobar y ejecutar normas de organización y funcionamiento del centro, en base a lo cual el centro escolar puede establecer como criterio que no se permita la grabación en eventos escolares.

Mención aparte merece la instalación de sistemas de videovigilancia en los centros educativos, ya que en estos casos se entenderá que responde al interés legítimo de los centros de mantener la seguridad e integridad de las personas y las instalaciones, pero dado el carácter intrusivo de estos sistemas deben de tenerse en cuenta criterios de necesidad, idoneidad para los fines pretendidos y proporcionalidad. Además, dichas cámaras no podrán instalarse en aseos, vestuarios o zonas de descanso del personal docente o trabajador del centro, ni tampoco en las aulas, ya que se consideraría desproporcionado. Donde sí estaría permitida su instalación seria en los patios de recreo y comedores, ya que se trata de espacios en los que se pueden producir acciones que pongan en riesgo la integridad física, psicológica y emocional de los alumnos.

Los derechos de los interesados en materia de protección de datos

La normativa de protección de datos permite a sus titulares ejercitar los siguientes derechos: acceso, rectificación, cancelación, oposición, limitación al tratamiento y portabilidad.

Con relación al derecho de acceso hay que tener en consideración que, cuando se ejerza el mismo, las Administraciones educativas tienen que responder en el plazo de un mes. Esta obligación puede cumplirse de distintas formas como, por ejemplo, visualización en pantalla, escrito, copia o fotocopia, correo electrónico... Esta información debe de proporcionarse de manera gratuita, salvo que el interesado exija un procedimiento que implique un coste desproporcionado.

El derecho de rectificación podrá ejercitarse cuando exista algún error acreditado. Los errores en las calificaciones y en el contenido de los expedientes escolares se rige por su normativa específica.

En cuanto al derecho de supresión hay que valorar que la información de los expedientes académicos requiere su conservación, ya que podrá ser solicitada por los alumnos una vez finalizados los estudios. Por el contrario, los datos de salud obtenidos por el equipo de orientación educativa se suprimirán cuando no sean necesarios para el desarrollo de la función educativa o al finalizar la escolarización del alumno.

En relación con el derecho de oposición hay que decir que el mismo podrá ejercerse cuando exista un motivo legítimo y fundado. Por ejemplo, un alumno podrá oponerse a la publicidad de su información personal cuando un juez haya dictado una orden de alejamiento de uno de sus progenitores.

Fuente: Guía para centros educativos de la AEPD