El centro tiene doscientas llaves y nadie sabe dónde están

Un problema de gestión antes que de seguridad

Una llave mecánica hace bien una sola cosa: abrir. Lo demás que un centro necesita se le escapa. Saber quién puede entrar dónde, retirar ese permiso cuando cambia la plantilla, reconstruir qué pasó una noche concreta. Por eso el problema rara vez aparece como un robo. Aparece como una pregunta que nadie sabe responder.

• No se sabe quién tiene cuál, y la lista, si existe, lleva cursos sin actualizarse.
• Quitarle el acceso a una sola persona obliga a cambiar la cerradura, y con ella a repartir llaves nuevas a todos.
• No queda constancia: ni de quién entró, ni de cuándo, ni de si quedó abierta.
• Perder una maestra escala. Si abría veinte puertas, afecta a veinte cerraduras y a todas sus copias.

Quién entra realmente en un centro educativo

La lista de personas con llave de un colegio, una universidad, una escuela de negocio o un centro de formación profesional es más larga de lo que la dirección recuerda.

• Docentes, con horarios distintos por etapa o por facultad.
• Administración y servicios, conserjería incluida, que abre y cierra.
• Limpieza, que entra con el centro vacío y llega a casi todo.
• Mantenimiento y proveedores, casi siempre a un cuarto concreto.
• La empresa de comedor, con su horario y su puerta.
• Las extraescolares de la tarde, que a menudo presta otra entidad.
• Los clubes deportivos del fin de semana: pabellón y vestuarios.
• La parroquia o la asociación que usa el salón de actos.

Con llaves, la única salida es dar de más

Cada colectivo entra en sitios distintos y a horas distintas, y con llaves eso solo se resuelve dando de más, con una que abre por encima de lo necesario, porque no existe otra que abra justo lo necesario. Así que el descontrol viene con la herramienta. Nadie lo eligió. Y no todas las puertas pesan igual; estas merecen control propio.

• Secretaría y el archivo con los expedientes, donde están los datos más sensibles del centro y, a menudo, la peor cerradura.
• El armario de comunicaciones, del que dependen la red y, si hay cámaras, el grabador. Suele compartir cuarto con la fregona.
• El almacén de dispositivos, con material caro, pequeño y fácil de sacar.
• Los laboratorios y las aulas de informática, por el material y el equipamiento.
• La enfermería y el botiquín, donde hay medicación.

Qué cambia con un control de accesos electrónico

El permiso deja de vivir en un objeto metálico y pasa a vivir en una lista. Se da y se quita en un momento, sin tocar la puerta. Cuando alguien deja el centro, se le retira el acceso a todo el edificio, devuelva o no la credencial. También se puede limitar por horario: la limpieza de siete a nueve, el club deportivo los sábados y solo el pabellón. Y queda registro de quién abrió y cuándo.

Queda decir también lo que no cambia. Gobierna quién puede abrir, y ahí se acaba su alcance. No impide forzar la puerta ni sostenerla abierta para el que viene detrás. Tampoco identifica personas. Identifica credenciales.

El registro de accesos es un tratamiento de datos personales

Saber que la tarjeta de una persona identificada abrió el archivo a las 19:40 de un jueves es información sobre esa persona. En cuanto el sistema guarda esa línea, el centro trata datos personales y le aplica el Reglamento (UE) 2016/679, de 27 de abril de 2016.

La Agencia Española de Protección de Datos separa, en su «Guía sobre tratamientos de control de presencia mediante sistemas biométricos» de noviembre de 2023, dos tratamientos que se confunden a diario: el registro de jornada, enmarcado en una relación laboral, y el control de acceso, «vinculado a la finalidad de supervisar la entrada y/o salida a determinados recintos», dentro del ámbito laboral o fuera de él. Ambos deben cumplir los principios y obligaciones del Reglamento.

• Una finalidad determinada, explícita y legítima (artículo 5.1.b). «Seguridad» a secas no basta. Sirve, en cambio, controlar el acceso a espacios restringidos fuera del horario lectivo.
• Minimización (artículo 5.1.c): guardar lo que hace falta para esa finalidad, no todo lo que el equipo sabe registrar.
• Un plazo de conservación (artículo 5.1.e). Para las imágenes de videovigilancia, el artículo 22.3 de la Ley Orgánica 3/2018 fija un mes como máximo; para el registro de accesos no hay un plazo equivalente en la norma de protección de datos, lo que no permite guardarlo sin fin. El centro debe fijarlo y justificarlo.
• Información previa a las personas afectadas (artículo 13) y el tratamiento anotado en el registro de actividades del artículo 30.
• Quién puede consultar el histórico y con qué motivo. Un registro que cualquiera mira por curiosidad no es una garantía.

Si afecta al personal, hay además marco laboral

La propia Agencia recuerda que el control de acceso con fines laborales suele fundamentarse en el artículo 20.3 del Estatuto de los Trabajadores, que permite adoptar «las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad». Es una habilitación con condiciones. Y si hay comité de empresa, el artículo 64.5.f) le reconoce el derecho a emitir informe, previo a la ejecución de la decisión, sobre «la implantación y revisión de sistemas de organización y control del trabajo».

Hay además un atajo tentador: usar el mismo dato como registro de jornada. Son finalidades distintas y, al unirlas, se heredan las reglas de la segunda. El artículo 34.9 del Estatuto, añadido por el Real Decreto-ley 8/2019, de 8 de marzo, exige garantizar el registro diario con el horario concreto de inicio y finalización de cada persona trabajadora, y conservarlo cuatro años a disposición de las personas trabajadoras, de sus representantes legales y de la Inspección de Trabajo y Seguridad Social.

Si alguien propone la huella o la cara

El argumento es que una huella no se presta ni se pierde. Es cierto, y aun así es el camino más difícil. El Reglamento sitúa en la categoría especial de su artículo 9.1 los datos biométricos dirigidos a identificar de manera unívoca a una persona física (definidos en el artículo 4.14), prohibidos salvo que concurra alguna de las circunstancias tasadas del artículo 9.2. La Agencia concluye que emplear biometría de identificación o autenticación en el control de presencia «supone un tratamiento de alto riesgo que incluye categorías especiales de datos».

El reconocimiento facial es lo que más se propone y lo que peor encaja, porque buena parte de las personas afectadas serían menores. Antes de pedir presupuesto hay una decisión jurídica que resolver, y casi nunca sale a favor. Compruebe además la versión vigente de la guía, marcada como en revisión.

• En el ámbito laboral, si el levantamiento de la prohibición se apoya en el artículo 9.2.b), hace falta una norma con rango de ley que concrete el uso de datos biométricos para esa finalidad, y la guía dice que no se encuentra en la actual normativa legal española.
• El consentimiento tampoco la levanta ahí, ni sirve de base de licitud, por el desequilibrio entre la persona trabajadora y quien la emplea.
• Fuera del ámbito laboral, con alumnado, familias o usuarios, la ejecución de un contrato tampoco es una de esas circunstancias, ni vale el consentimiento por ser un tratamiento de alto riesgo.
• En todo caso habría que superar antes una evaluación de impacto (artículo 35) con el triple análisis de idoneidad, necesidad y proporcionalidad.

Lo que hay que decidir antes de instalar nada

Un sistema electrónico no arregla solo lo que las llaves hacían mal. Si nadie retira permisos, la lista se descontrola igual que el cajón, con el agravante de que es invisible: nadie ve crecer un fichero.

• Quién autoriza un acceso: una persona concreta, con nombre y cargo. «Dirección» no vale como respuesta.
• Quién lo retira y con qué disparador. La baja de un trabajador, el fin de un contrato de servicios y el cambio de curso son los tres momentos en que se pierde el control.
• Quién revisa la lista entera una vez al año y da de baja lo que sobra. Es una tarde por curso, y separa un sistema vivo de un inventario histórico.

La evacuación no se negocia

Hay un límite por encima de todo lo anterior: una puerta de emergencia tiene que poder abrirse desde dentro siempre, sin llave y sin credencial, también sin corriente.

Está en la norma. El Documento Básico SI «Seguridad en caso de incendio» del Código Técnico de la Edificación (Real Decreto 314/2006, de 17 de marzo, en su texto consolidado tras el Real Decreto 164/2025) establece en su Sección SI 3, apartado 6, que las puertas previstas como salida de planta o de edificio y las previstas para evacuar a más de cincuenta personas serán abatibles con eje de giro vertical, y que su sistema de cierre «o bien no actuará mientras haya actividad en las zonas a evacuar, o bien consistirá en un dispositivo de fácil y rápida apertura desde el lado del cual provenga dicha evacuación, sin tener que utilizar una llave y sin tener que actuar sobre más de un mecanismo».

El mismo apartado remite a las normas UNE-EN 179:2009 y UNE-EN 1125:2009 para esos dispositivos y fija cuándo la puerta debe abrir en el sentido de la evacuación. Qué le corresponde a cada una depende de la ocupación calculada y del proyecto del edificio, y lo determina el técnico que lo firmó, no el instalador.

Cómo se hace por fases

Casi ningún centro cambia el edificio entero de golpe, y no hace falta, porque la llave y la credencial conviven años sin problema. Primero, el inventario. Cuántas puertas hay, qué abre cada llave y quién la tiene. Es la parte más tediosa y la que más información aporta. Después el perímetro y, luego, la lista corta de espacios críticos. El resto puede seguir con llave indefinidamente.

Sobre el calendario manda la obra más que el presupuesto. Hay puertas que admiten sustituir el cilindro sin tocar nada más y otras que exigen pasar cable hasta el armario. Y hay una elección de fondo, sistema conectado a la red o autónomo, que condiciona qué se podrá hacer después con el registro y con la retirada de permisos.