Referencias normativas: Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de los Derecho Digitales, y el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

Las Administraciones Públicas (AAPP) actúan en calidad de responsables y encargados de tratamientos de datos personales en el desarrollo de las actividades propias del organismo público. En materia de protección de datos, existen áreas en las que encontramos especificaciones para el sector público, siendo éstas:

I. Identificación de las finalidades del tratamiento de datos efectuados, así como las bases jurídicas que legitiman el tratamiento. En este caso, deberá incorporarse la identificación al Registro de Actividades del tratamiento, así como en la información facilitada al titular de los datos en cumplimiento del art. 13 y 14 del RGPD. Como base legitimadora habitual, en el caso de las AAPP, encontraremos el interés público o el ejercicio de poderes públicos, habilitando una norma con rango de ley al organismo público para que efectué el tratamiento.

II. En el supuesto de que el consentimiento del titular resulte la base legitimadora, deberán cumplirse las premisas que establece el legislador: informado, libre, especifico otorgado por los interesados mediante una manifestación que muestre su voluntad de consentir o mediante una clara acción afirmativa.

III. Cumplir con el deber de información en base a lo establecido en el art. 13 y 14 del RGPD, otorgando la información de forma “concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo”. Esta obligación deriva en la necesidad de modificación de los documentos que actualmente recogen estas cláusulas informativas, incorporados en convocatorias de subvenciones, pruebas selectivas, etc.

IV. Análisis de riesgos en materia de protección de datos, identificando el tratamiento de datos efectuado, medidas de seguridad implantadas y gestión del riesgo del organismo público.

V. Implantación del procedimiento de atención de ejercicio de derechos por parte de los titulares, reconocidos por la normativa vigente.

VI. Adoptar un procedimiento de gestión de brechas o incidentes de seguridad.

VII. Confección del documento de “Registro de Actividades del Tratamiento”, con el contenido mínimo establecido en el art. 30 del RGPD. Este registro deberá mantenerse actualizado y a disposición de la autoridad de control.

VIII. Necesidad de valoración de encargados del tratamiento mediante la verificación del grado de cumplimiento efectuado por los mismos en materia de protección de datos, en cumplimiento de la obligación de diligencia debida en la elección de proveedores.

IX. Actualización y adecuación de los contratos de encargados del tratamiento, en base a lo establecido en el art. 28 del RGPD y art. 33 de la LOPDGDD.

X. Designación del Delegado de Protección de Datos (todas las “autoridades u organismos públicos” nombrarán un DPD)

Desde GRUPO DATA, como consultoría especializada en materia de protección de datos, nos encontramos a su disposición para regular estas cuestiones y aclararle las dudas que le surjan

Publicado el 25 de Noviembre de 2022
Por María González
Responsable del Departamento Jurídico

En este mes de septiembre, inicia un nuevo curso académico y los centros educativos comienzan con los trámites y gestiones para la atención de actividades escolares, matriculas de alumnos/as, etc. Es por ello que, debemos tener presente y atender las dudas más frecuentes que este tipo de trámites suscita en las personas encargadas de los mismos. 

En primer lugar, señalar que la normativa actual en materia de protección de datos, legitima a los centros educativos para el tratamiento de los datos del alumnado, así como de sus padres, madres o tutores, bajo la necesidad de resultar necesarios para el desempeño de la función docente y orientadora.

En este artículo queremos ayudar al personal encargado de estas gestiones, resolviendo algunas de las preguntas que nos plantean.

¿Los centros escolares pueden colocar en tablones de anuncios las listas con el alumnado admitido?

Ante esta cuestión formulada, debemos tener en cuenta que, si el centro debe informar sobre el alumnado admitido en el supuesto de que exista un procedimiento de concurrencia competitiva, en el que se valoran y puntúan determinados parámetros.

A pesar de lo anterior, estas listas tan solo podrán estar publicadas en los tablones de anuncios del interior del centro o en una página web con acceso restringido a aquellos que hayan solicitado la admisión.

Cuando ya no resulten necesarios estos listados hay que retirarlos, aunque el centro podrá conservarlos por si se plantean reclamaciones.

¿Se pueden publicar los datos de los beneficiarios de becas, subvenciones y otras ayudas públicas?

Pueden publicar esta información para informar a los beneficiarios, indicando el importe, el objetivo o finalidad y los beneficiarios de las becas.

En ningún caso debe publicarse el nombre y apellidos de manera conjunta con el DNI. Como mucho, se publicará el nombre, apellidos y 4 cifras de DNI de manera aleatoria.

Si los criterios de las ayudas implican conocer categorías especiales de datos hay que valorar y analizar individualmente si esto podría afectar a la esfera íntima de la persona, en el caso de que, por ejemplo, se ponga de manifiesto su capacidad económica o su situación de riesgo de exclusión social.

Cuando ya no sean necesarios estos listados, habrá que retirarlos, de los espacios en los que se les haya dado publicidad.

¿Se pueden hacer públicas las calificaciones escolares?

Las calificaciones del alumnado se ha de facilitar al alumnado y a sus padres. En el caso de comunicarlas a través de plataformas educativas, sólo pueden tener acceso los propios alumnos o alumnas, sus padres o tutores. 

No obstante, sí sería posible comunicar la situación del alumno/a en el entorno de su clase, por ejemplo, mostrando su calificación frente a la media de sus compañeros/as.

¿Pueden los centros educativos captar imágenes del alumnado durante las actividades escolares?

Los centros están legitimados para grabar imágenes como parte de la función educativa, pero deben disponer del consentimiento de los interesados/as o de sus padres o tutores para otros fines, como la difusión del centro o sus actividades.

También es posible la toma de imágenes del alumnado en eventos escolares para la única finalidad de que los padres pudieran tener acceso a ellas. El acceso tiene que ser seguro, con previa identificación y autenticación. Recordamos que quienes acceden a las imágenes no pueden publicarlo en Internet.

En este sentido, debemos ser conscientes de la necesidad de concienciación del personal implicado en las diferentes gestiones que hemos especificado con anterioridad, resultando primordial que la cultura de protección de datos sea implementada en el seno del Responsable del tratamiento, en este caso, el centro escolar.

Publicado el 30 de Septiembre de 2022
Por María González
Responsable del Departamento Jurídico