El RGPD en el ámbito educativo: qué medidas deben adoptar realmente los centros educativos

Para un centro educativo, el RGPD —conocido en los Países Bajos como AVG— se resume en un principio: solo se pueden utilizar los datos de los alumnos para el fin para el que se recopilaron, solo se pueden conservar mientras sean necesarios y hay que poder demostrar que se gestionan con cuidado. Esto puede parecer un mero trámite burocrático, pero en la práctica diaria se trata sobre todo de una cuestión de comportamiento: quién comparte qué archivo con quién, a través de qué canal, y quién sigue teniendo acceso a un sistema del que ya no forma parte desde hace dos años.

A continuación, analizamos qué datos gestionan realmente los centros educativos, quién asume la responsabilidad, qué hay que acordar con los proveedores de las herramientas de aprendizaje digital, cómo se producen realmente las filtraciones de datos en un centro educativo y cómo todo esto se relaciona con el Normenkader IBP, objetivo hacia el que se encaminan los centros educativos.

Qué datos gestionan los centros educativos y por qué son sensibles

Los centros educativos disponen de más datos personales que la mayoría de las organizaciones del mismo tamaño, y gran parte de ellos se refieren a menores. Precisamente por eso, la normativa es más estricta en este ámbito que en una empresa con el mismo número de empleados.

• Datos básicos de los alumnos: nombres, direcciones, fechas de nacimiento, números de identificación fiscal y datos de los padres o tutores. A simple vista parecen datos corrientes, pero resultan muy valiosos para cualquiera que quiera elaborar un perfil.
• Progreso y resultados académicos. Notas, resultados de exámenes, boletines y comentarios en el sistema de seguimiento de alumnos. Se trata de datos sensibles, ya que acompañan al niño durante años.
• Expedientes de atención y apoyo. Certificados de dislexia, informes médicos, informes de los equipos de apoyo. Se trata de datos de categoría especial y deben ser tratados con el máximo rigor en el edificio.
• Imágenes y grabaciones. Fotografías en la página web del colegio, vídeos de una excursión escolar, grabaciones de una clase. En este caso, el consentimiento es específico, revocable y, a menudo, se olvida.
• Comunicación con los padres. Correos electrónicos y mensajes sobre alumnos concretos, incluidos los conflictos y las situaciones difíciles en el ámbito familiar.

Lo que diferencia este caso de una empresa es la combinación de factores: los datos son sensibles, los interesados son niños que no pueden evaluar las consecuencias y las personas que los gestionan son profesores cuyo trabajo es enseñar, no la protección de datos.

¿Quién es el responsable del RGPD en un centro educativo?

Formalmente, el consejo escolar es el responsable del tratamiento. Es la entidad que determina los fines y los medios del tratamiento de los datos personales, y a la que se dirigirá la Autoriteit Persoonsgegevens si surge algún problema. Muchos consejos nombran a un delegado de protección de datos y, en el ámbito educativo, suele haber también un coordinador del IBP que se encarga de garantizar, en la práctica, la seguridad de la información y la privacidad.

La brecha que más problemas causa es la que existe entre esa responsabilidad formal y la realidad cotidiana. El consejo escolar asume la responsabilidad, pero el proceso real tiene lugar en el aula y en la secretaría: un profesor que exporta una lista de alumnos, un administrador que reenvía un expediente de atención, un sustituto que inicia sesión con una cuenta compartida. Una política que nunca llega a esas personas no es cumplimiento, es mera documentación.

Acuerdos de procesamiento con tus proveedores

Los centros educativos utilizan herramientas externas: el sistema de seguimiento de alumnos, materiales didácticos digitales, una aplicación de comunicación para padres y un servicio de almacenamiento en la nube. Cada proveedor que gestiona datos de alumnos en tu nombre es un encargado del tratamiento, y esa relación requiere un acuerdo de tratamiento en el que se especifique qué pueden hacer con los datos, cómo los protegen, cuánto tiempo los conservan y qué ocurre cuando finaliza el contrato.

Dos aspectos prácticos. En primer lugar, comprueba si ese acuerdo existe realmente para todas las herramientas que se utilizan, incluidas aquellas que un profesor entusiasta haya introducido sin decírselo a nadie. En segundo lugar, recuerda que firmarlo no te exime de tu responsabilidad: si un proveedor filtra datos, el centro sigue siendo el responsable del tratamiento y sigue estando obligado a informar a las personas afectadas.

Cómo se producen realmente las filtraciones de datos en los centros educativos

Casi nunca se debe a un ataque informático espectacular. Las notificaciones que recibe la Autoriteit Persoonsgegevens procedentes del sector educativo son, en su gran mayoría, de carácter rutinario, y eso es una buena noticia, porque las causas rutinarias son las que se pueden evitar con la formación.

1. Destinatario equivocado. Una lista de alumnos, un resumen de notas o un informe escolar enviado por correo electrónico a una dirección equivocada, o a todo un grupo de padres en el campo «Para» en lugar de en «CCO». La infracción más habitual en el ámbito educativo.
2. Inicios de sesión compartidos. Una sola cuenta para el sistema de seguimiento de alumnos que utiliza todo el equipo, ya que crear cuentas independientes llevaba demasiado tiempo. Después, nadie puede saber quién ha consultado qué.
3. Dispositivos y soportes de almacenamiento que se pierden. Un portátil en el coche, una memoria USB con una copia de seguridad de los resultados, un móvil personal con fotos del colegio.
4. Phishing dirigido a cuentas escolares. Los atacantes saben que un buzón escolar da acceso a una gran cantidad de datos sobre menores. Basta con un solo clic en una página de inicio de sesión falsa.
5. Un acceso que nunca se revocó. El sustituto de la pasada primavera, que todavía tiene una cuenta activa; el compañero que se marchó y cuyo acceso a la unidad compartida nadie desactivó.

Cuando algo sale mal, el tiempo es fundamental. Una filtración de datos que suponga un riesgo para las personas afectadas debe notificarse a la Autoriteit Persoonsgegevens sin demora indebida y, en principio, en un plazo de 72 horas; además, hay que informar a las personas afectadas cuando el riesgo para ellas sea elevado. Ese plazo solo es realista si un profesor que sospeche de algo lo comunique esa misma mañana, lo cual es más una cuestión de cultura que de procedimiento. Mantener vivo el tema ayuda: la concienciación sobre la privacidad que se transmite en pequeñas dosis funciona mejor que una sesión informativa anual, y un formato ligero, como los juegos formativos sobre el RGPD, consigue más participación en una sala de equipo con mucho ajetreo que un documento normativo.

La relación con el Normenkader IBP

La privacidad y la seguridad de la información llegan a los centros educativos como un todo. El marco Normenkader IBP para la educación primaria y secundaria aúna ambos aspectos en una serie de requisitos concretos, y los centros están trabajando para cumplirlos con el 1 de enero de 2027 como fecha límite. Gran parte de lo que exige este marco coincide con lo que ya se esperaba del RGPD: saber qué datos se tienen, gestionar adecuadamente el acceso a ellos, establecer acuerdos con los proveedores y poder demostrar que el personal sabe cómo actuar.

Vale la pena aprovechar esa coincidencia. Una escuela que se toma en serio la parte de sensibilización del Normenkader está, al mismo tiempo, cumpliendo con sus obligaciones en materia del RGPD, y viceversa. Si se tratan como dos proyectos independientes, las juntas directivas acaban haciendo el mismo trabajo dos veces con dos tramos de papeleo distintos.

Cómo ayuda Guardey a los centros educativos en el ámbito de las relaciones humanas

La formación en concienciación sobre seguridad de Guardey está pensada para equipos que no tienen tiempo que perder: retos semanales de unos tres minutos, gamificación con tablas de clasificación y rachas, y contenidos que se basan en las amenazas que circulan realmente. Para los centros educativos, esto se traduce en situaciones reconocibles, desde un correo de phishing dirigido a una cuenta del centro hasta la cuestión de qué fotografía se puede publicar en la página web.

KONOT, una organización educativa, utiliza Guardey para mejorar la concienciación en materia de seguridad de su profesorado, y nuestra formación en concienciación sobre seguridad para centros educativos está diseñada específicamente para ese contexto. El profesorado realiza la formación a través de la aplicación móvil para iOS y Android o, simplemente, en el navegador; las simulaciones de phishing integradas permiten comprobar si el reconocimiento se traduce en un cambio de comportamiento, y los informes proporcionan al consejo de administración datos concretos que presentar en el marco del Normenkader IBP. La configuración se realiza en cuestión de minutos.

Preguntas frecuentes sobre el RGPD en el ámbito educativo

¿Puede un colegio publicar fotografías de los alumnos?

Solo con un consentimiento válido, lo que en el caso de los niños más pequeños implica el consentimiento de los padres o tutores; además, dicho consentimiento debe especificar claramente dónde se utilizará la imagen y puede retirarse en cualquier momento. En la práctica, el problema rara vez radica en el formulario de consentimiento en sí, sino en llevar un registro de quién se ha negado y asegurarse de que el compañero que publica en las redes sociales lo sepa.

¿Durante cuánto tiempo puede un centro educativo conservar los datos de los alumnos?

Solo durante el tiempo necesario para la finalidad prevista, respetando los plazos de conservación legales para determinadas partes del expediente. La cuestión práctica no es el plazo exacto, sino si alguien borra realmente algo: muchos centros educativos conservan archivos antiguos de hace años simplemente porque no se ha encargado a nadie que los elimine.

¿Es un profesor responsable personalmente de una filtración de datos?

Casi nunca. El consejo escolar es el responsable y asume la responsabilidad. Vale la pena decirlo en voz alta en la sala de profesores, porque el miedo a que se le culpe es la principal razón por la que se comunica un error con retraso, y ese retraso es lo que convierte un pequeño incidente en un problema de supervisión.

¿Necesitamos un delegado de protección de datos?

Las autoridades y organismos públicos deben designar a una persona para desempeñar esta función, y los centros educativos suelen entrar en esa categoría, aunque la forma de organizarlo varía: algunos consejos escolares designan a su propia persona, mientras que otros comparten una misma persona entre un grupo de centros. Lo más importante es que las personas que tienen dudas cotidianas puedan acceder realmente a esta figura.

Los centros educativos que tienen en orden su cumplimiento del RGPD rara vez son aquellos que cuentan con el dossier de políticas más voluminoso. Son aquellos en los que un profesor sabe qué hacer ante un correo electrónico sospechoso, en los que se desactiva una cuenta la misma semana en que alguien deja el centro y en los que informar de un error es algo normal, en lugar de resultar incómodo. Eso es una cultura, y las culturas se construyen poco a poco.