¿Cómo afecta la ley de protección de datos a los centros educativos?
La privacidad es un tema importante cuando se trata de procesar información de carácter personal de alumnos, equipo docente y todas las personas relacionadas de alguna manera con los centros educativos.
En España, los colegios deben tener presentes dos legislaciones, la europea y la nacional. A nivel europeo rige el Reglamento General de Protección de Datos (RGPD), mientras que en España está vigente la LOPDGDD (antigua LOPD), la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales, que entró en vigor el 7 de diciembre de 2018 y que emana del RGPD.
La LOPDGDD establece una serie de obligaciones en relación al procesamiento de información personal que concierne a cualquier organización, incluidos los centros educativos como academias y escuelas. A continuación veremos con detenimiento lo que dicta la normativa. Además, ahondaremos en las obligaciones específicas para centros educativos, como la designación de un delegado de protección de datos.
Incumplir con estas regulaciones puede suponer importantes sanciones económicas. Además, podría conllevar diversos perjuicios para los centros:
- Amenazas a la seguridad del alumnado
- Pérdida de la confianza de las familias
- Deterioro de la imagen del centro educativo
- Pleitos por daños sobre datos de alumnos o profesores
- Dificultades para obtener certificaciones
- Problemas para atraer y retener talento
En resumen, cumplir las leyes de protección de datos es fundamental para el éxito a largo plazo de cualquier centro educativo.
Tipos de datos que suelen tratar los centros educativos
Normalmente hay una serie de datos que se suelen recopilar y tratar en los centros educativos:
- Nombres
- Direcciones
- Teléfonos
- Historial académico
- Información sanitaria
Esta información se puede recopilar de estudiantes, profesores, padres o tutores legales, y todo el personal de la institución.
El tratamiento de datos tiene un gran impacto tanto sobre el centro educativo como sobre los individuos en cuestión.
Normativa de protección de datos específica para centros educativos
La normativa aplicable en el caso de colegios, academias y universidades es la misma que para cualquier otra organización. Sin embargo, hay ciertos puntos particulares a tener presentes, como la obligatoriedad de designar un DPO y la protección del menor.
Estas son, en general, las medidas que obligan a los centros educativos en el tratamiento de datos personales.
Deber de informar
La normativa exige que los centros educativos informen a los interesados sobre el tratamiento de sus datos. Se les debe comunicar con claridad y de manera comprensible el uso que se hará de su información personal.
Por su parte, el considerando 58 del RGPD especifica lo siguiente:
Consentimiento expreso
El consentimiento es uno de los fundamentos de la legislación, recogido en la LOPDGDD y en el reglamento europeo. No es suficiente con que sea tácito, debe ser un consentimiento explícito e inequívoco. Dicho de otro modo, la persona debe expresar claramente y de manera específica que da permiso para usar sus datos en las condiciones en que se le comunica que se hará uso de ellos.
Hay que tener presente lo que expresa la LOPDGDD respecto a menores, en el caso de colegios con alumnos en preescolar, primaria y secundaria.
Además, en el título II, artículo 7 de la misma norma, se dice lo siguiente:
Dicho de otro modo, cualquier información personal que tenga el centro educativo de alumnos menores de 14 años, deberá primero contar con el consentimiento de su padre, madre o tutor legal.
Contratos con terceros
Igualmente, las instituciones educativas también tienen que tener en cuenta que no es suficiente con su compromiso. Las medidas de seguridad de las que son responsables incluyen también cualquier relación con terceros en la que faciliten datos que hayan recopilado de sus alumnos.
En este sentido, el centro tiene el deber de informar a los interesados (alumnos, padres, profesores, etc.) sobre las entidades con las que colaboran y comparten información personal.
Protección de la página web y análisis de riesgos
Las páginas web de centros educativos están sujetas a las leyes de protección de datos. En concreto, deben seguir aquellas que están en vigor en la jurisdicción donde se encuentren sus visitantes web, es decir, su público objetivo.
Proteger un sitio web educativo es fundamental para garantizar la seguridad de alumnos, profesores y personal del centro, además de evitar así posibles interrupciones del servicio.
Estas son algunas medidas clave que conviene aplicar:
- Crear políticas de contraseñas robustas
- Pedir autenticación en dos factores
- Limitar los permisos de acceso según el usuario
- Instalar un firewall para filtrar el tráfico y protegerse de ataques
- Mantener el software actualizado y aplicar parches de seguridad
- Cifrar datos sensibles ante el riesgo de filtraciones
- Realizar copias de seguridad regulares
- Formar al personal en materia de protección de datos
Asimismo, se aconseja realizar análisis de riesgos para anticiparse a posibles amenazas. Una vez detectados potenciales peligros se debe desarrollar un plan de respuesta ante cualquier violación de seguridad.
Notificación de brechas de seguridad
Tal como establece la ley, se debe notificar cualquier brecha en un máximo de 72 horas desde que sucede el incidente. Esta obligación de comunicar incluye un aviso a la autoridad competente (como puede ser la Agencia Española de Protección de Datos) y también a los interesados.
En otras palabras, si un colegio español, por ejemplo, sufre un ataque cibernético que compromete información de sus alumnos, debe avisar inmediatamente a las familias y notificarlo a la AEPD (Agencia Española de Protección de Datos).
Sanciones por incumplimiento
Cumplir con la normativa de protección de datos no es una cuestión trivial. De hecho, cualquier infracción puede tener graves consecuencias económicas y también reputacionales para el centro educativo. En concreto, las multas administrativas pueden alcanzar los 20 millones de euros.
Por ejemplo, recientemente la Universitat Oberta de Catalunya (UOC) ha sido sancionada a pagar una multa de 20.000 euros por usar el reconocimiento facial en los exámenes online.
En todo caso, no es solo un deber legal, sino también ético, ya que dichas normativas han sido diseñadas para proteger un derecho personal fundamental:la privacidad. Además, cuando se trata de colegios, con menores de edad, es todavía más importante velar por la seguridad de los datos.
En este sentido, el considerando 38 del RGPD afirma que «los niños merecen una protección específica de sus datos personales, ya que pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos concernientes al tratamiento de datos personales».
¿Cómo puede Usercentrics ayudarle a cumplir la normativa?
Usercentrics puede ser una herramienta eficaz para facilitar el cumplimiento a los centros educativos. Nuestra plataforma de gestión del consentimiento (Usercentrics CMP) permite recopilar datos en el sitio web respetando los derechos del usuario.
¿Qué incluye nuestro software RGPD?
- Banners de cookies personalizables
- Amplia disponibilidad de idiomas
- Asignación de diferentes roles y permisos
- Reportes sobre aceptación de los usuarios
- Diferentes opciones de consentimiento
Además de la web del centro educativo, si su institución cuenta con una app para smartphones o tablets, también puede incorporar nuestra solución de protección de datos.
Conclusión
El cumplimiento de la ley de protección de datos es fundamental para los centros educativos. No solo garantiza la seguridad de los miembros, sino que además previene de multas que podrían ser muy costosas para la organización.
Además, ante una sociedad cada vez más sensibilizada con la privacidad, sobre todo en el caso de los niños, los centros que dedican especial atención a proteger los datos pueden contar con una importante ventaja competitiva.
No dude en hacer una consulta gratuita o descargar recursos adicionales. Desde Usercentrics le proporcionamos herramientas y guías para poder cumplir la LOPDGDD en su centro educativo.
–
Descargo de responsabilidad: Usercentrics no provee asesoría legal, y la información provista tiene fines únicamente educativos. Siempre recomendamos recurrir a consultorías legales cualificadas o especialistas en privacidad en relación a las cuestiones y operaciones sobre privacidad y protección de datos.