El decálogo de la AEPD para centros educativos, traducido a lo que hay que hacer

Qué es esta guía y por qué el decálogo es un buen punto de partida

La Agencia Española de Protección de Datos dedica a los centros educativos una guía propia, la «Guía para centros educativos», que comienza con un «Decálogo para un correcto uso de los datos de carácter personal en los centros educativos». La guía se ocupa sobre todo de los datos de los alumnos y sus familiares, los principales colectivos afectados «tanto en número, con más de ocho millones de alumnos, como por las categorías y naturaleza de los datos».

Los diez puntos son bastante claros, pero cuando se llevan al funcionamiento cotidiano de un centro aparecen las preguntas importantes: quién puede consultar qué información, qué ocurre con las aplicaciones que utiliza un profesor, cómo deben comunicarse las familias con el centro o qué hacer con las fotografías de una actividad escolar.

Un apunte por honestidad antes de entrar. La Agencia mantiene el documento marcado como en revisión, y la propia guía avisa de que no es «un documento estático e inalterable, sino dinámico, revisable y actualizable». Eso no lo invalida: sigue siendo el criterio publicado por la autoridad que después inspecciona, y un buen punto de partida para revisar cómo está trabajando un centro.

1. Los datos de un alumno no deberían estar disponibles para todo el mundo

El primer punto del decálogo recuerda que los equipos directivos, profesores y personal administrativo y auxiliar necesitan tratar datos de alumnos y familiares, y que deben hacerlo «con la debida diligencia y respeto a su privacidad e intimidad, teniendo presente el interés y la protección de los menores». La lista de quién trata datos no coincide con la de quién tiene despacho.

La consecuencia práctica es sencilla: tener una cuenta en un sistema del centro no debería significar poder consultar toda la información que existe dentro de él. Un profesor necesita acceder a los datos relacionados con los alumnos a los que atiende, mientras que secretaría puede requerir otra información y orientación psicopedagógica otra completamente diferente. La guía lo concreta al hablar de seguridad: cualquier persona bajo la autoridad del centro «solo pueda tratar dichos datos en el ejercicio de las funciones que tenga asignadas».

Por eso los permisos importan tanto como las contraseñas. Si todos los miembros del claustro tienen exactamente el mismo perfil de acceso, probablemente se está permitiendo consultar más información de la necesaria. Y el deber de confidencialidad no desaparece cuando una persona deja de trabajar en el centro: el artículo 5.3 de la LOPDGDD establece que esas obligaciones «se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento».

Un ejemplo permite verlo rápidamente. ¿Puede un profesor consultar el informe psicopedagógico de un alumno al que no da clase y con el que no tiene ninguna responsabilidad? Si técnicamente puede hacerlo, merece la pena revisar cómo están definidos los permisos.

2. El responsable sigue siendo el centro aunque utilice proveedores externos

El segundo punto dice dos cosas en una línea: las Administraciones y los centros «son los responsables del tratamiento de los datos» y «deben formar sobre sus principios básicos y cómo hacerlo correctamente». La guía concreta además que «cuando se trata de centros concertados y privados los responsables del tratamiento de los datos serán los propios centros».

Esto no significa que el proveedor no tenga obligaciones. Dependiendo de su función, puede actuar como encargado del tratamiento y asumir responsabilidades concretas. Pero contratar una plataforma educativa, un sistema de gestión, un servicio en la nube o un proveedor informático no traslada automáticamente al proveedor todas las obligaciones del centro. La responsabilidad no se subcontrata.

El mismo punto de la guía habla también de formación. Y aquí aparece un problema muy habitual: se realiza una sesión al comienzo del curso para explicar determinadas normas, pero semanas después llegan sustituciones, nuevas incorporaciones o personal externo que nunca recibió esa información.

Por eso la formación en protección de datos no debería considerarse algo que se hace una vez al año y queda resuelto. El procedimiento debería contemplar también qué información recibe una persona cuando se incorpora al centro en noviembre, febrero o abril, y de quién.

3. No siempre hace falta pedir consentimiento, pero siempre hay que informar

El tercer punto quita un peso y pone otro. Quita este: «por regla general, los centros educativos no necesitan el consentimiento de los titulares de los datos para su tratamiento, que estará justificado en el ejercicio de la función educativa y en la relación ocasionada con las matrículas de los alumnos». Pone este: el centro debe informar «utilizando un lenguaje claro y sencillo», y vale el mismo impreso donde se recogen los datos.

El centro debe explicar quién es responsable de los datos, para qué se utilizan, cuál es la base que permite tratarlos, si es obligatorio facilitarlos y qué ocurre si no se hace, a quién pueden comunicarse y cómo ejercer los derechos. El decálogo añade que el Reglamento europeo amplía esa información con «los datos de contacto del delegado de protección de datos y el plazo de conservación o los criterios para determinarlo».

En la práctica, el problema no suele ser que el centro no tenga ninguna cláusula de protección de datos. Lo más frecuente es arrastrar una que se redactó hace años y se ha seguido reutilizando sin revisar si todavía refleja las aplicaciones, servicios y tratamientos actuales, y que no menciona ni al delegado ni los plazos. Una revisión bastante sencilla consiste en coger el documento de matrícula que están utilizando las familias este curso y comprobar si la información que contiene sigue correspondiendo con lo que el centro hace realmente.

4. Autorizar una fotografía para una finalidad no significa autorizarla para todas

Hay tratamientos que no forman parte estrictamente de la función educativa y que pueden necesitar consentimiento. Cuando eso ocurre, el decálogo pide que, «por tratarse de finalidades distintas a la función educativa, se debe informar con claridad de cada una de ellas, permitiendo a los interesados oponerse a aquellas que así lo consideren». La expresión que decide es «cada una».

Esto afecta especialmente al uso de imágenes. Una familia puede estar de acuerdo con que la fotografía de su hijo aparezca en la orla de final de curso y, al mismo tiempo, no querer que se publique en Instagram. También puede aceptar fotografías en una revista interna pero no en una campaña publicitaria.

Por eso una única casilla que diga «autorizo el uso de imágenes del alumno» puede resultar demasiado amplia si después esas imágenes se utilizan con finalidades distintas. Pero el reto real no está solo en el formulario: está en conseguir que esa decisión llegue a la persona que publica las fotografías. De poco sirve recoger perfectamente la autorización si meses después el profesor o la persona responsable de comunicación no puede comprobar fácilmente qué alumnos pueden aparecer en cada canal.

5. Una aplicación no debería llegar al aula antes de saber qué hace con los datos

Este es uno de los puntos que más directamente afectan a la tecnología. La guía reconoce que «las TIC son herramientas fundamentales» en educación y fija la regla: los centros «deben conocer las aplicaciones que vayan a utilizar, su política de privacidad y sus condiciones de uso de éstas antes de utilizarlas, debiendo rechazarse las que no ofrezcan información sobre el tratamiento de los datos personales que realicen».

El «antes» es lo que se incumple. En un centro es muy fácil que ocurra al revés: un profesor descubre una aplicación interesante para trabajar una asignatura, crea cuentas para los alumnos y empieza a utilizarla. La herramienta funciona bien y nadie se plantea nada más hasta meses después, cuando alguien pregunta qué datos recoge, dónde están almacenados o qué sucede con las cuentas al terminar el curso. La guía añade que utilizarlas desde el móvil del profesor «debe garantizar la política de privacidad definida por el centro».

No se trata de dificultar la innovación ni de impedir que el profesorado descubra nuevas herramientas. Se trata de disponer de un procedimiento sencillo para que una aplicación pueda revisarse antes de introducir datos personales de alumnos. Un buen ejercicio para cualquier centro sería intentar responder hoy mismo a esta pregunta: ¿podemos enumerar todas las aplicaciones externas que utilizan datos de alumnos y sabemos quién autorizó cada una?

6. Las normas tecnológicas también tienen que cambiar con la edad

El sexto punto dice que los centros «deben disponer de protocolos, instrucciones, guías, directrices o recomendaciones para el uso de las TIC por los profesores», y añade una condición especialmente importante que suele pasarse por alto: «su enseñanza y uso deberán adaptarse al grado de desarrollo del niño».

No tiene demasiado sentido aplicar exactamente la misma política tecnológica a un alumno de primaria que a uno de bachillerato. El nivel de autonomía, el tipo de navegación, las aplicaciones disponibles y las restricciones deberían evolucionar con la edad y con el proyecto educativo del centro. Un mismo perfil de dispositivo y un mismo filtrado para infantil, primaria, ESO y bachillerato incumple el criterio por definición.

Aquí la protección de datos termina teniendo una consecuencia muy concreta sobre cómo se configuran los dispositivos y la red. Un MDM que permite crear políticas por etapa o un sistema de filtrado que diferencia usuarios y edades no es únicamente una comodidad técnica: permite que la tecnología refleje las decisiones educativas del centro.

También es importante que esas normas estén escritas, y pesan más de lo que parece: la guía condiciona a ese protocolo actuaciones delicadas, como acceder al dispositivo de un alumno ante un caso de ciberacoso. Un profesor que acaba de incorporarse debería poder saber qué herramientas puede utilizar con determinado curso sin depender de preguntárselo informalmente a otro compañero.

7. Las comunicaciones con las familias deberían utilizar los canales del centro

El séptimo punto es corto: las comunicaciones entre profesores y padres «deben llevarse a cabo, preferentemente, a través de los medios puestos a disposición de ambos por el centro educativo (plataformas educativas, correo electrónico del centro)». Con los alumnos, la guía apunta en el mismo sentido.

Esta recomendación tiene una consecuencia que a veces se olvida: el canal oficial tiene que funcionar bien. Si consultar una notificación requiere demasiados pasos, la aplicación no avisa correctamente o las familias tienen dificultades para utilizarla, acabarán apareciendo vías alternativas y no habrá circular que lo evite.

Por eso no basta con publicar una circular diciendo que debe utilizarse la plataforma del centro. Hay que comprobar que funciona bien desde los dispositivos que utilizan realmente las familias, que los avisos llegan cuando deben y cuántas familias los tienen activados. La protección de datos también se facilita cuando los canales oficiales son suficientemente cómodos como para que nadie tenga necesidad de sustituirlos.

8. WhatsApp no debería convertirse en el canal habitual entre profesor y familias

El octavo punto dice que «el uso de aplicaciones de mensajería instantánea (como WhatsApp) entre profesores y padres o entre profesores y alumnos no se recomienda», con una excepción: si el interés superior del menor está comprometido, «como en caso de accidente o indisposición en una excursión escolar», sí podrían captarse imágenes y enviárselas a los padres.

No es una prohibición absoluta, pero la dirección es clara. La cuestión está en evitar que la mensajería se convierta de forma sistemática en el canal institucional de comunicación del profesor con las familias.

Los grupos de clase son un buen ejemplo. Cuando los crea y administra un tutor pueden quedar expuestos los números personales de las familias, y el profesor pasa a gestionar una comunicación que podría organizarse de otra manera. La guía admite que excepcionalmente se creen con el consentimiento de los padres, y señala que «sería preferible que los grupos fueran gestionados por los propios padres».

De nuevo, muchas veces la solución no está únicamente en prohibir algo. Está en ofrecer una alternativa oficial que sea suficientemente sencilla y eficaz.

9. Publicar un trabajo de clase en internet también implica decidir sobre privacidad

El noveno punto tiene dos mitades. La primera mira al profesorado: «Los profesores deben tener cuidado con los contenidos del trabajo de clase que suben a Internet». La segunda mira al aula: hay que enseñar a los alumnos que «no pueden sacar fotos ni videos de otros alumnos ni de personal del centro escolar sin su consentimiento», para prevenir el ciberacoso, el grooming o el sexting.

Sobre la primera mitad la guía es concreta: las grabaciones de una actividad escolar «sólo deberán estar accesibles para los alumnos involucrados en dicha actividad, sus padres o tutores y el profesor correspondiente», y para que las familias vean las imágenes describe un entorno seguro «que exigiera la previa identificación y autenticación».

Esto marca una diferencia importante entre compartir y publicar en abierto. Un vídeo de un proyecto de clase puede compartirse perfectamente con las familias participantes mediante una plataforma privada sin necesidad de dejarlo accesible públicamente en internet. ¿El vídeo del último proyecto de aula está en abierto o detrás de una identificación?

Y hay una parte educativa que ninguna herramienta sustituye. Enseñar a los alumnos a respetar la privacidad de sus compañeros y a entender que no todo lo que pueden grabar debe publicarse forma parte de la educación digital, y es trabajo de tutoría.

10. En los festivales y actos escolares hay que informar antes de empezar

El último punto aborda algo tan cotidiano como un festival de Navidad, una celebración de final de curso o un evento deportivo. Es inevitable que las familias saquen fotografías y graben vídeos, y la guía señala que «constituye una buena práctica informarles, por ejemplo, al solicitarles la autorización para participar o mediante avisos o carteles, de la posibilidad de grabar imágenes exclusivamente para su uso personal y doméstico».

Mientras ese material permanece dentro del ámbito personal, familiar o de amistad, se encuentra fuera de la aplicación ordinaria de la normativa de protección de datos. La situación cambia si posteriormente una familia decide difundirlo públicamente: la guía aclara que entonces «los familiares asumirían la responsabilidad», y que el centro debe advertirlo antes. La misma guía resuelve además una duda frecuente: la negativa de una familia a que se capten imágenes no obliga al centro a cancelar el acto.

Por eso hay que avisarlo antes, mediante la inscripción, una comunicación o la señalización adecuada. No hace falta esperar a que aparezca una discusión sobre una fotografía para decidir qué información debía haberse dado: ¿el próximo acto del calendario tiene ya redactado ese aviso, o se resolverá otra vez sobre la marcha?

Lo que puede revisarse esta semana sin gastar dinero

Una de las cosas interesantes del decálogo es que buena parte de las mejoras no empieza adquiriendo tecnología, sino revisando procedimientos. Bastan media mañana ordenada y decidir quién se hace cargo de cada cosa. Anote lo que no cuadre: esa lista es la conversación que toca tener con el delegado de protección de datos, obligatorio en todos los centros docentes por el artículo 34 de la Ley Orgánica 3/2018 y a quien la guía dice que han de trasladarse las dudas.

• Releer la cláusula del impreso de matrícula contra la lista de información del punto 3.
• Comprobar que el contacto del delegado de protección de datos está publicado y es correcto.
• Anotar en una hoja qué aplicaciones tratan datos de alumnos y quién aprobó cada una.
• Preguntar en claustro quién administra grupos de mensajería con familias o alumnos.
• Comprobar si el filtrado y las políticas de dispositivos distinguen por etapa educativa.

La protección de datos también se diseña desde la infraestructura

Al revisar esos procedimientos aparecerán cuestiones que sí requieren cambios tecnológicos, pero entonces la inversión ya responderá a una necesidad concreta: modificar los permisos de una plataforma, implantar un MDM, mejorar el filtrado, retirar una contraseña compartida o revisar cómo se autentican los profesores. La tecnología tiene sentido cuando ayuda a aplicar una política que el centro ha definido antes.

Las decisiones jurídicas corresponden al centro y a su delegado de protección de datos. Pero muchas de ellas necesitan después una traducción técnica. Decidir que un profesor no debería acceder a determinados datos solo sirve si la plataforma permite limitar los permisos. Definir políticas diferentes para primaria y bachillerato requiere poder aplicarlas en los dispositivos y en la navegación. Recomendar los canales oficiales de comunicación exige que esos canales sean fiables y fáciles de utilizar.

Ahí es donde entra PenwinEdu. Nuestra experiencia en centros educativos nos permite convertir muchas de esas decisiones en configuraciones, políticas y procedimientos técnicos que puedan mantenerse durante todo el curso. Trabajamos con gestión de dispositivos, filtrado de contenidos, identidad y acceso a la red, seguridad y soporte, siempre partiendo de cómo funciona realmente cada centro.

En la gestión de dispositivos y el filtrado, eso se traduce en políticas de uso diferenciadas por grupo o nivel educativo, filtrado web por categorías y una tienda de aplicaciones gestionada en la que solo entra lo que el centro autoriza, que es justo lo que pide el punto 5. PenwinSafe cubre otra parte distinta: filtrado DNS que acompaña al dispositivo en cualquier red wifi, alertas para los tutores y bloqueo remoto desde el panel.

Cumplir no consiste en tener una carpeta con documentos

La protección de datos en un centro educativo no se resuelve únicamente con cláusulas, consentimientos y políticas guardadas en una carpeta. Se demuestra en decisiones cotidianas: quién puede abrir un expediente, qué aplicación entra en un aula, dónde se publica una fotografía, qué canal utiliza un profesor para escribir a una familia o qué restricciones recibe un dispositivo de primaria.