El decálogo de la AEPD para centros educativos, traducido a lo que hay que hacer

Qué es esta guía y por qué el decálogo es un buen punto de partida

La «Guía para centros educativos» de la Agencia Española de Protección de Datos se ocupa sobre todo de los datos de los alumnos y sus familiares, los principales colectivos afectados «tanto en número, con más de ocho millones de alumnos, como por las categorías y naturaleza de los datos». Y antes de los conceptos, se abre con un «Decálogo para un correcto uso de los datos de carácter personal en los centros educativos».

Por honestidad, un apunte antes de entrar. La Agencia mantiene el documento marcado como en revisión, y la guía avisa de que no es «un documento estático e inalterable, sino dinámico, revisable y actualizable». Eso no lo invalida, porque sigue siendo el criterio publicado por la autoridad de control.

1. Diligencia y respeto, con un perímetro más ancho que secretaría

El decálogo empieza recordando que los equipos directivos, profesores y personal administrativo y auxiliar necesitan tratar datos de alumnos y familiares, y que deben hacerlo «con la debida diligencia y respeto a su privacidad e intimidad, teniendo presente el interés y la protección de los menores». La lista de quién trata datos no coincide con la de quién tiene despacho.

La traducción la da la guía al hablar de seguridad: cualquier persona bajo la autoridad del centro «solo pueda tratar dichos datos en el ejercicio de las funciones que tenga asignadas». Se falla en el perfil único. El mismo para todo el claustro. Y el deber de secreto del artículo 5 de la LOPDGDD «subsiste incluso una vez finaliza la relación».

• ¿Puede un profesor consultar el informe psicopedagógico de un alumno al que no da clase?

2. Responsable del tratamiento es el centro, que además debe formar

El segundo punto dice dos cosas en una línea: las Administraciones y los centros «son los responsables del tratamiento de los datos» y «deben formar sobre sus principios básicos y cómo hacerlo correctamente». La guía concreta que «cuando se trata de centros concertados y privados los responsables del tratamiento de los datos serán los propios centros».

Es lo que más se olvida al contratar tecnología. El proveedor será encargado del tratamiento, pero la responsabilidad no se subcontrata. Y la formación falla siempre igual, con una sesión en septiembre, sin registro, que no alcanza a quien se incorpora en octubre.

• Compruebe qué formación recibe, y de quién, una persona que entra a mitad de curso.

3. Por regla general no hace falta consentimiento, pero sí informar

El tercer punto quita un peso y pone otro. Quita este: «por regla general, los centros educativos no necesitan el consentimiento de los titulares de los datos para su tratamiento, que estará justificado en el ejercicio de la función educativa y en la relación ocasionada con las matrículas». Pone este: el centro debe informar «utilizando un lenguaje claro y sencillo», y vale el mismo impreso donde se recogen los datos.

El decálogo enumera qué debe contener esa información y añade que el Reglamento europeo la amplía con «los datos de contacto del delegado de protección de datos y el plazo de conservación». El fallo rara vez es no informar. Lo habitual es arrastrar una cláusula de hace años que no menciona ni al delegado ni los plazos.

• Qué debe decir: finalidad y licitud; si es obligatorio darlos y qué pasa si no; destinatarios; derechos y dónde ejercerlos; y quién es el responsable.
• En el impreso de matrícula de este curso, ¿aparece todo eso?

4. Consentimiento separado para cada finalidad ajena a la función educativa

El cuarto punto se ocupa de todo lo demás: cuando haga falta el consentimiento «por tratarse de finalidades distintas a la función educativa, se debe informar con claridad de cada una de ellas, permitiendo a los interesados oponerse a aquellas que así lo consideren». La expresión que decide es «cada una».

Eso rompe la autorización de imagen de casilla única, la que vale a la vez para la web, las redes, la revista y la orla. Toca separar finalidades y asumir que una familia diga sí a unas y no a otras. El papel se resuelve rápido. La dificultad está en que esa negativa llegue a quien sube la foto.

• Si una familia autoriza la orla pero no las redes, ¿alguien puede comprobarlo antes de publicar?

5. Conocer la aplicación antes de usarla; rechazar la que no informe

Aquí el decálogo entra en lo tecnológico. Reconoce que «las TIC son herramientas fundamentales» y fija la regla: los centros «deben conocer las aplicaciones que vayan a utilizar, su política de privacidad y sus condiciones de uso de éstas antes de utilizarlas, debiendo rechazarse las que no ofrezcan información sobre el tratamiento de los datos personales que realicen».

El «antes» es lo que se incumple. La secuencia habitual es la contraria. Alguien descubre una herramienta, da de alta a su clase y meses después nadie sabe dónde han ido esos datos. La guía añade que usarlas desde el móvil del profesor «debe garantizar la política de privacidad definida por el centro».

• ¿Puede alguien enumerar hoy qué aplicaciones tratan datos de alumnos y quién aprobó cada una?

6. Protocolos escritos para el uso de las TIC, adaptados a la edad

El sexto punto pide que los centros «deben disponer de protocolos, instrucciones, guías, directrices o recomendaciones para el uso de las TIC por los profesores», que estos deberán utilizar, y añade una condición que se pasa por alto: «su enseñanza y uso deberán adaptarse al grado de desarrollo del niño».

Eso tiene consecuencias técnicas. Un mismo perfil de dispositivo y un mismo filtrado para Infantil, Primaria, ESO y Bachillerato incumple el criterio por definición. Y el protocolo pesa más de lo que parece, porque la guía condiciona a él actuaciones delicadas, como acceder al dispositivo de un alumno ante un ciberacoso.

• ¿Sabría un profesor recién incorporado, sin preguntar, qué puede usar en 3.º de Primaria y qué no?

7. Las comunicaciones con las familias, por los medios del centro

El séptimo punto es corto: las comunicaciones entre profesores y padres «deben llevarse a cabo, preferentemente, a través de los medios puestos a disposición de ambos por el centro educativo (plataformas educativas, correo electrónico del centro)». Con los alumnos, la guía apunta igual.

La conclusión es incómoda para el equipo directivo. Si el canal oficial es lento o va mal en el móvil, familias y profesorado se irán a otro sitio, y no habrá circular que lo evite. Antes de prohibir, compruebe que el canal propio aguanta el uso real.

• ¿Cuánto tarda una familia en enterarse de un aviso por el canal oficial, y cuántas lo tienen activado?

8. La mensajería instantánea no se recomienda, salvo excepciones tasadas

El octavo punto dice que «el uso de aplicaciones de mensajería instantánea (como WhatsApp) entre profesores y padres o entre profesores y alumnos no se recomienda», con una excepción: si el interés superior del menor está comprometido, «como en caso de accidente o indisposición en una excursión escolar», se podrían captar imágenes y enviárselas a los padres.

No es una prohibición absoluta, pero la dirección es clara. Sobre el grupo de clase, la guía admite que excepcionalmente se cree con el consentimiento de los padres, y que «sería preferible que los grupos fueran gestionados por los propios padres». El fallo está en el origen. Lo crea el tutor, con los teléfonos de todas las familias a la vista.

• ¿Quién administra los grupos de clase de este curso? Si es un profesor, el centro ha asumido un tratamiento evitable.

9. Qué se sube a internet y qué se enseña en el aula

El noveno punto tiene dos mitades. La primera mira al profesorado: «deben tener cuidado con los contenidos del trabajo de clase que suben a Internet». La segunda mira al aula: enseñar que los alumnos «no pueden sacar fotos ni videos de otros alumnos ni de personal del centro escolar sin su consentimiento», para evitar el ciberacoso, el grooming o el sexting.

Sobre la primera mitad la guía es concreta: las grabaciones de una actividad escolar «sólo deberán estar accesibles para los alumnos involucrados en dicha actividad, sus padres o tutores y el profesor correspondiente». Y para que las familias vean imágenes describe un entorno seguro «que exigiera la previa identificación y autenticación». La segunda mitad es trabajo de tutoría, y no hay cartel que lo sustituya.

• ¿El vídeo del último proyecto de aula está en abierto o detrás de una identificación?

10. En los eventos con familias, avisar antes de que empiece

El décimo punto cierra con los actos con familias. Cuando el centro organice eventos («fiestas de Navidad, fin de curso, eventos deportivos»), «constituye una buena práctica informarles, por ejemplo, al solicitarles la autorización para participar o mediante avisos o carteles, de la posibilidad de grabar imágenes exclusivamente para su uso personal y doméstico».

La guía lo desarrolla después, y aclara que esas imágenes quedan fuera de la normativa mientras sean de uso personal y doméstico, pero que si se difunden fuera del ámbito privado, familiar y de amistad, «los familiares asumirían la responsabilidad», y el centro debe advertirlo. También aclara que la negativa de una familia no obliga a cancelar el acto.

• ¿El próximo acto del calendario tiene ya redactado el cartel, o se resolverá otra vez sobre la marcha?

Lo que puede hacer esta semana sin gastar dinero

Ninguno de los diez puntos exige inversión para empezar a moverse, porque bastan media mañana ordenada y decidir quién se hace cargo. Anote lo que no cuadre, porque esa lista es la conversación que toca tener con el delegado de protección de datos, obligatorio en todos los centros docentes por la Ley Orgánica 3/2018 y a quien la guía dice que han de trasladarse las dudas.

• Releer la cláusula del impreso de matrícula contra la lista del punto 3.
• Comprobar que el contacto del delegado de protección de datos está publicado y es correcto.
• Anotar en una hoja qué aplicaciones tratan datos de alumnos y quién aprobó cada una.
• Preguntar en claustro quién administra grupos de mensajería con familias o alumnos.
• Comprobar si el filtrado y las políticas de dispositivos distinguen por etapa.