Ley de Protección de Datos en Centros Educativos: Principales características.

Tras la entrada en vigor del Reglamento General de Protección de Datos (UE) y la Ley Orgánica 3/2018 de Protección de Datos de Carácter Personal y Garantía de los Derechos Digitales conviene realizar un análisis de las novedades legislativas que implicarán prestar una especial atención en lo referente a la Ley de Protección de Datos en Centros Educativos.

Antecedentes a la Ley de Protección de Datos en Centros Educativos.

La educación es uno de los pilares fundamentales que permiten el desarrollo y progreso de la sociedad. Serán los centros educativos los encargados de llevar a cabo la función docente y orientadora de los alumnos.

Junto a lo anterior, deben prestar especial atención al tratamiento de los datos personales de estos y de otros colectivos estrechamente relacionados como: sus padres, tutores y el personal docente.

La Agencia Española de Protección de Datos con el objetivo de colaborar con los centros educativos en el impulso de la cultura de la protección de datos realizó el Plan sectorial de Oficio sobre la enseñanza reglada no universitaria.

Este plan recopilaba una serie de conclusiones y recomendaciones determinar el grado de cumplimiento de la normativa en protección de datos personales en centros educativos.

Además, la AEPD publicó en el año 2018 el  “Informe sobre la utilización por parte de profesores y alumnos de aplicaciones que almacenan datos en nube con sistemas ajenos a las plataformas educativas" con el objetivo de "facilitar la evolución de la educación hacia un entorno digital y contribuir a que el desarrollo de nuevos modelos de estos servicios respeten los derechos de los afectados".

Con la entrada en vigor el pasado 25 de mayo de 2018 del Reglamento General de protección de Datos (UE) y de la Ley Orgánica 3/2018, de 5 de diciembre de Protección de Datos y Garantía de los Derechos Digitales (en adelante LOPDGDD) se incorporan distintos aspectos a tener en cuenta sobre el tratamiento de datos personales en centros educativos, es decir, la Ley de Protección de Datos en Centros Educativos.

Principales notas características de la Ley de Protección de Datos en Centros Educativos

I. Datos personales en Centros educativos

Entendemos por dato personal como toda información que permite identificar o hace identificable a una persona física.

Dicho esto, si contextualizamos esta definición a los tratamientos de datos realizados en centros educativos, los datos personales que permitirán identificar a una persona directa o indirectamente serán:

• Sus datos identificativos.
• Sus datos  académicos, financieros, o profesionales.
• Las imágenes captadas de los alumnos.

II. Categorías especiales de datos

Sabemos que cuando hacemos mención a categorías especiales de datos, nos referimos a los datos que revelan el origen étnico, racial, datos biométricos, etc.

En la mayoría de supuestos, los datos especiales tratados por centros educativos se corresponden con datos relativos a la salud de sus alumnos, tratados en aras de prestar los correspondientes servicios médicos, conocer las alergias e intolerancias de los alumnos en lo que respecta a los servicios de comedor escolar o adaptar la docencia a aquellos que padezcan algún tipo de discapacidad física o psíquica.

III. Sujetos en la ley de protección de datos en centros educativos

a) Responsable del tratamiento

Éste será aquella persona física o jurídica, pública o privada, que determina los fines y medios del tratamiento.

Junto a lo anterior, deducimos que cuando estemos ante centros educativos públicos, el responsable del tratamiento será la propia Administración Pública competente.

Por otro lado, si hablamos de centros privados o concertados, el responsable del tratamiento será el propio centro educativo.

b) Encargado del tratamiento

Es aquella persona física o jurídica, autoridad pública o servicio que trata datos personales por cuenta del responsable del tratamiento.

Estos suelen coincidir con los servicios tradicionales prestados en centros educativos como los servicios de comedor, de transporte de alumnos,  de seguridad, etc.

c) Delegado de protección de datos

Una de las medidas incorporadas por el Reglamento General de Protección de Datos (UE) consiste en la designación de un Delegado de Protección de Datos Personales.

La propia LOPDGDD incorpora en su artículo 34.1 aquellos supuestos en los que el responsable y encargado del tratamiento deberán designar a un Delegado de Protección de Datos, en concreto, "Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas".

IV. Base de legitimación

En primer lugar, debemos destacar que la actual LOPDGDD fija en 14 años, el consentimiento prestado por menores de edad para el tratamiento de datos personales.

Aquellos menores de 14 años, deberán contar con el consentimiento o autorización de sus padres o tutores.

No debemos olvidar que existen alternativas a las bases de legitimación del RGPD y LOPDGDD.

Un ejemplo de lo anterior es la legitimación fijada por la Ley Orgánica de Educación (en adelante LOE) para el tratamiento de datos personales en el ejercicio de la función docente y orientadora.

V. ¿Qué datos podemos tratar como responsable del tratamiento?

La LOE legitima el tratamiento de los siguientes datos:

• Origen y ambiente familiar.
• Características o condiciones personales.
• Datos sobre resultados de la función docente.

Además, pueden tratarse datos relativos a la salud, sobre la religión de los alumnos, así como datos biométricos.

Un ejemplo de datos biométricos sería el establecer un sistema de acceso mediante el uso de la huella dactilar a las instalaciones. En este caso, la propia AEPD permite este tipo de tratamientos cuando se implementen medidas que garanticen el cifrado de la información, la conversión de la huella en un algoritmo, etc.

VI. Supuestos específicos sobre el tratamiento de la Ley de Protección de Datos en Centros Educativos

He solicitado plaza para mi hijo, ¿Puede un centro publicar listas con los alumnos admitidos?

En el caso en que se requiera la concurrencia de unos requisitos mínimos para la admisión de los alumnos en los centros educativos, podrá proceder a la publicación de este listado.

Sin embargo, esta publicación se deberá realizar de forma limitada o restringida con el objetivo de que sean los propios solicitantes los que tengan acceso a este listado. Según la Ley de Protección de Datos en Centros Educativos.

¿Puede un centro educativo publicar las listas sobre los alumnos becados?

La normativa vigente determina la obligación de publicar la información correspondiente a las subvenciones y ayudas públicas concedidas por las Administraciones Públicas.

En ningún caso, se deberán publicar datos personales ajenos a los requisitos tenidos en cuenta por la Administración para la concesión de tales ayudas.

Evidentemente, cuando estos listados dejen de ser necesarios, deberán ser retirados.

Y, ¿en cuanto a los expedientes académicos?

¿Puede un profesor acceder a los expedientes académicos de los alumnos?

Los docentes podrán acceder tanto a los datos del expediente académico de los alumnos a los que imparte docencia, así como a los datos sobre la salud de estos.

La finalidad sobre el acceso a la información de la salud de sus alumnos radica en que el docente sea consciente de las limitaciones físicas, intelectuales o psíquicas de sus alumnos y así pueda garantizar una atención personalizada al alumno.

¿Pueden comunicarse los datos de los alumnos y sus padres a las AMPA?

En la práctica, es posible que sean los propios centros educativos los que faciliten los datos a las AMPA, en cuyo caso, se deberá contar con el consentimiento de los interesados.

Además, las AMPA podrán recabar el consentimiento de los titulares de los datos personales e informar sobre la finalidad del tratamiento.

Para ello, tendremos que  diferenciar dos tipos de interesados: los asociados y no asociados.

En el primer caso, dada su condición de progenitores no se requerirá su consentimiento.

A sensu contrario, los no asociados deberán prestar su consentimiento e informar sobre la finalidad de este tratamiento.