Los centros educativos deben adoptar una serie de medidas de seguridad en relación a los sistemas de información a través de los que se tratan los datos personales del alumnado y personal del centro.

1. Alejandro Florentino López Fernández
PROTECCIÓN DE DATOS:
centros docentes
aprendeintef Cursos en línea 2019

2. 2
Índice:
2
PRESENTACIÓN 4
7
10
12
18
DECÁLOGO PARA UN CORRECTO USO DE LOS DATOS DE CARÁCTER
PERSONAL EN LOS CENTROS EDUCATIVOS
CONCEPTOS BÁSICOS
PRINCIPIOS DE PROTECCIÓN DE DATOS
DERECHO EN MATERIA DE PROTECCIÓN DE DATOS
MARCO NORMATIVO BÁSICO
¿QUÉ ES LA PROTECCIÓN DE DATOS? 3
15

3. ¿Qué es la PROTECCIÓN DE
DATOS?
3
El derecho a la protección de datos de carácter personal se confirma
como un derecho fundamental de todo el alumnado, objeto de
creciente atención por parte de nuestros legisladores y de los
organismos de la Unión Europea.
Con el objetivo de contribuir a su difusión, asentamiento y respeto
en los centros de enseñanza de la Junta de Andalucía, la Consejería
de Educación elabora la presente guía: Guía de protección de datos
de carácter personal para los centros de enseñanza.
La protección de datos es esencial: significa privacidad y respeto y
estar libre de manipulación. Sin embargo, tras el RGPD (Reglamento
General de Protección de Datos) de la Unión Europea han surgido
ciertas preocupaciones.
 ¿Necesitan los centros educativos modificar su registro?
 ¿Qué información se considera delicada?
 ¿Aún puedes llevar datos escolares en un dispositivo portátil?

4. 4
INTRODUCCIÓN

5. 5
5
Los centros educativos:
• Papel clave en el desarrollo y progreso
la sociedad
• Función docente y orientadora de los
alumnos, lo que exige el tratamiento
sus datos personales
• Derecho fundamental a la protección
los datos de carácter personal que, al
constituir su actividad principal, en
ocasiones genera dudas sobre la
interpretación y aplicación de su
regulación.
Agencia Española de Protección de
Datos (AEPD):
 Plan Sectorial de Oficio sobre la
reglada no universitaria para conocer
grado de cumplimiento de la normativa
protección de datos en el sector
[2006]
Informe de la Inspección sectorial de
oficio sobre servicios de cloud
INTRODUCCIÓN

6. 6
INTRODUCCIÓN
Transcurridos más de 10 años desde la
primera de
las actuaciones llevadas a cabo en el
ámbito de la
educación no universitaria:
 El tratamiento de los datos de carácter
personal en el sector educativo resulta
FUNDAMENTAL.
 La Agencia Española de Protección de
Datos incluye la protección de los
menores entre las líneas de actuación
prioritarias de su Plan Estratégico 2015-
2019, a través de una serie de medidas
dirigidas, entre otros sectores, al
6

7. 7
DECÁLOGO PARA UN
CORRECTO USO DE LOS DATOS
DE CARÁCTER PERSONAL EN
LOS CENTROS EDUCATIVOS

8. 8
01
Los equipos directivos, profesores, personal administrativo y auxiliar de los centros educativos en
el ejercicio de sus funciones y tareas necesitan tratar datos de carácter personal de los alumnos y
de sus familiares, lo que deberán realizar con la debida diligencia y respeto a su privacidad e
intimidad, teniendo presente el interés y la protección de los menores.
02
Las Administraciones y los centros educativos son los responsables del tratamiento de los datos y
deben formar sobre sus principios básicos y cómo hacerlo correctamente..
03
Por regla general, los centros educativos no necesitan el consentimiento de los titulares de los
datos para su tratamiento, que estará justificado en el ejercicio de la función educativa y en la
relación ocasionada con las matrículas de los alumnos. No obstante, se les debe informar en un
lenguaje claro y sencillo, que se puede realizar en el mismo impreso en el que se recojan los datos
04
Cuando sea preciso obtener el consentimiento de los alumnos o de sus padres o
tutores para la utilización de sus datos personales por tratarse de finalidades
distintas a la función educativa, se debe informar con claridad de cada una de
ellas, permitiendo a los interesados oponerse a aquellas que así lo consideren.
05
Las Administraciones educativas y los centros deben conocer las aplicaciones
que vayan a utilizar, su política de privacidad y sus condiciones de uso de éstas
antes de utilizarlas, debiendo rechazarse las que no ofrezcan información sobre
el tratamiento de los datos personales que realicen.

9. 9
06
Las Administraciones educativas y los centros deben disponer de protocolos, instrucciones, guías,
directrices recomendaciones para el uso de lasTIC por los profesores, que deberán utilizar las que
la Administración educativa y/o el centro hayan dispuesto. Su enseñanza y uso deberán adaptarse
al grado de desarrollo del niño..
07
Las comunicaciones entre profesores y padres de alumnos deben llevarse a cabo, preferentemente,
a través de los medios puestos a disposición de ambos por el centro educativo (plataformas
educativas, correo electrónico del centro).
08
El uso de aplicaciones de mensajería instantánea (como WhatsApp) entre profesores y padres o
entre profesores y alumnos no se recomienda. No obstante, en aquellos casos en los que el interés
superior del menor estuviera comprometido, como en caso de accidente o indisposición en una
excursión escolar, y con la finalidad de informar y tranquilizar a los padres, titulares de la patria
potestad, se podrían captar imágenes y enviárselas.
09
Los profesores deben tener cuidado con los contenidos del trabajo de clase que suben a Internet.
Deben enseñar a valorar la privacidad de uno mismo y la de los demás, así como enseñar a los
alumnos que no pueden sacar fotos ni videos de otros alumnos ni de personal del centro escolar
sin su consentimiento y hacerlos circular por las redes sociales, para evitar cualquier forma de
violencia (ciberacoso, grooming, sexting o de violencia de género).
10
Cuando los centros educativos organicen y celebren eventos (fiestas de Navidad, fin de
curso, eventos deportivos) a los que asistan los familiares de los alumnos, constituye una
buena práctica informarles, por ejemplo, al solicitarles la autorización para participar o
mediante avisos o carteles, de la posibilidad de grabar imágenes exclusivamente para su
uso personal y doméstico (actividades privadas, familiares y de amistad).

10. 10
CONCEPTOS BÁSICOS

11. 11
¿Qué es un dato de
carácter personal?
Datos especialmente
protegidos
¿De quién son los datos
de carácter personal? ¿Qué es un fichero?
¿Qué se entiende por
tratamiento de datos?
¿Quién es el
responsable del
tratamiento de datos?
¿Quién es el
encargado del
tratamiento de datos?
¿Qué se entiende por
cesión de datos?
¿Cuándo se produce una
transferencia
internacional de datos?
a
b
c
d
e
f
g
h
i

12. Tipos de datos personales que
tratan los colegios
Los ficheros más comunes en un centro educativo que deben inscribirse según el tratamiento
habitual de datos son:
Expediente académico: ficheros sobre calificaciones, absentismo, etc. de los alumnos.
Personal docente: ficheros de profesores para la gestión interna del centro escolar.
Personal no docente: personal de mantenimiento, limpieza…
Servicios adicionales: servicios adicionales del centro como pueden ser, comedor, transporte o
guardería.
Proveedores: sobre los servicios de los proveedores.
Admisión de alumnos: sobre los datos que se incluyen en procesos de matriculaciones,
solicitudes, etc.
Asesoramiento psicopedagógico: con datos sobre dificultades de aprendizaje de los alumnos.
Otros ficheros: según los servicios y características del centro, como pueden ser los
de videovigilancia o control de accesos mediante huella dactilar.
EN TODO CASO SE HA DE INTENTAR POR PARTE DEL CENTRO EDUCATIVO QUE SOLAMENTE
TENGAN ACCESO A LOS DATOS PERSONALES QUIENES, EN CUMPLIMIENTO DE SU FUNCIÓN O
CARGO, ESTÉN AUTORIZADAS PARA ELLO.
12

13. 13
PRINCIPIOS DE PROTECCIÓN DE
DATOS

14. 14
a. Legitimación para el tratamiento de los datos
La LOE autoriza a los centros educativos a recabar y tratar los datos de los
alumnos y de sus padres o tutores cuando sea necesario para el desempeño
de la función docente y orientadora.
Al margen de esta función, los centros educativos también podrán llevar a
cabo el tratamiento de datos personales, según casos.
b. Principio de calidad de datos ¿Qué datos se pueden tratar y cómo?
Los datos han de ser tratados de manera lícita, leal y transparente en
relación con su titular.
c. Transparencia e información
La información se puede facilitar, por ejemplo, al cumplimentar los
formularios de admisión de los alumnos en los centros o al matricularse o a
través de su propia web.
El RGPD amplía la información que debe facilitarse a los titulares de los datos cuando se recaben de
ellos mismos, añadiendo los datos de contacto del delegado de protección de datos, el plazo de
conservación o los criterios para determinarlo.
d. Medidas de seguridad
Los centros y las Administraciones educativas, deben adoptar
una serie de medidas de seguridad, de carácter técnico y
organizativo, que garanticen la seguridad de los citados datos,
es decir, su integridad y confidencialidad y la protección frente
al tratamiento no autorizado o ilícito y contra su pérdida,
destrucción o daño accidental.

15. 15
e. Deber de secreto
Todas las personas que tengan acceso a datos de carácter personal están
obligadas a guardar secreto sobre los mismos.
f. Cancelación de los datos
Uno de los principios de protección de datos es el que hace referencia al
tiempo que deben conservarse los datos de carácter personal por parte de
los responsables del tratamiento.
Como regla general, se conservarán por el tiempo estrictamente necesario
para las finalidades para las que se recabaron y para hacer frente a las
responsabilidades que se pudieran derivar de su tratamiento, de manera que
cuando hayan dejado de ser necesarios o pertinentes para dicha finalidad
deberá producirse la cancelación de los mismos.
Los datos incluidos en los procesos de admisión serán
cancelados una vez finalizados los procedimientos
administrativos y judiciales de reclamación.
Los exámenes de los alumnos no deberían mantenerse
más allá de la finalización del periodo de reclamaciones.
Los datos del expediente académico, en cambio, deben
ser conservados, ya que pueden ser solicitados
por los alumnos con posterioridad a la finalización de
sus estudios.

16. 16
DERECHO EN MATERIA DE
PROTECCIÓN DE DATOS

17. 17
Para la efectiva protección de los datos de carácter personal, la normativa otorga
a sus titulares unos derechos que les permiten ejercer el control sobre sus datos,
sobre su información personal, y que el responsable del tratamiento tiene la
obligación de facilitar.
Estos derechos son los de acceso, rectificación, cancelación y
oposición, conocidos por su acrónimo ARCO, y se pueden
describir del siguiente modo:
 El derecho de ACCESO permite a los titulares de los datos
personales conocer y obtener gratuitamente información
sobre si sus datos de carácter personal están siendo objeto de
tratamiento, con qué finalidad, qué tipo de datos tiene el
responsable del tratamiento, su origen, si no proceden de los
interesados, y los destinatarios de los datos.
 El derecho de RECTIFICACIÓN permite corregir errores,
modificar los datos que resulten ser inexactos o incompletos y
garantizar la certeza de la información objeto de tratamiento.
 El derecho de CANCELACIÓN permite que se supriman los
datos que resulten ser inadecuados o excesivos.
 El derecho de OPOSICIÓN es el derecho del interesado a que,
por motivos relacionados con su situación personal, no se
lleve a cabo el tratamiento de sus datos de carácter personal o
se cese en el mismo.

18. 18
¿Quiénes pueden ejercitar estos derechos?
Estos derechos tienen carácter personalísimo, lo que significa que sólo pueden
ser ejercidos por sus titulares o sus representantes legales. En el caso de los
menores de 14 años, los padres, cuando ostenten la patria potestad, o los tutores
podrán ejercitarlos en su nombre. Si son mayores de esa edad lo podrán ejercitar
los propios alumnos o sus representantes legales, que igualmente pueden ser sus
padres.
¿Ante quién se ejercitan los derechos ARCO?
Se ejercitan ante los responsables del tratamiento: los centros educativos o las
Administraciones educativas.
¿Cuántas veces se pueden solicitar los derechos ARCO?
Siempre que los interesados consideren que sus datos se deben
rectificar, cancelar u oponerse al tratamiento.
¿Hay obligación de contestar a los interesados?
Sí, siempre, aunque no se disponga de los datos sobre los que
verse el derecho ejercitado, en cuyo caso
habrá que responder en dicho sentido, informándoles del
derecho a presentar, en su caso, una reclamación
ante la Agencia Española de Protección de Datos o la autoridad
autonómica correspondiente.

19. 19
MARCO NORMATIVO BÁSICO

20. 20
ORIENTACIÓN para la aplicación provisional de la disposición adicional séptima de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de
los Derechos Digitales (Agencia Española de Protección de Datos, 05-03-2019).
LEY ORGÁNICA 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía
de los derechos digitales (BOE 06-12-2018). (Modifica artículos de LOE, LPA, EBEP y
otras leyes).
INFORME 2-2012 del Gabinete Jurídico de la Agencia Española de Protección de Datos
sobre datos de salud de familiares para permisos y traslados.
INFORME 267-2017 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre ayudas en desayunos escolares.
INFORME 265-2017 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre contratación de profesorado en centros concertados.
INFORME 23-2017 del Gabinete Jurídico de la Agencia Española de Protección de Datos
sobre cesión de datos de alumnos a Sanidad para estudio epidemiológico.
ORDEN Orden de 26 de noviembre de 2015, por la que se crean y suprimen los ficheros
con datos de carácter personal gestionados por la Consejería de Educación (BOJA 17-12-
2015).
INFORME 0441/2015 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre el acceso por los padres a las calificaciones escolares de los hijos mayores
de edad.
INFORME 0401-2015 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre necesidad de certificado negativo del Registro Central de delincuentes
sexuales para determinadas profesiones.
INFORME 502-2014 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre la inclusión de firmas manuscritas en documentos escaneados.

21. 21
INFORME 0178/2014 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre distintos casos en aplicación de la Ley de Transparencia.
DECRETO 285/2010, de 11 de mayo, por el que se regula el Sistema de Información
Séneca y se establece su utilización para la gestión del sistema educativo andaluz (BOJA
26-05-2010).
INFORME 0048-2010 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre cesión de datos de menores en procedimiento sancionador.
INFORME 512-2009 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre comunicación de actas de comprobación por hechos denunciados.
INFORME 0214-2009 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre comunicación de identidad del denunciante al denunciado.
INFORME 379-2009 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre cesión de datos identifcativos y académicos del alumnado de postgrado a
dos profesores de la Universidad con la finalidad de realizar una base de datos histórica.
INFORME 292-2008 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre acceso a expedientes de admisión de alumnos por interesados en los
colegios concertados.
INFORME 152-2008 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre publicación desglosada de la lista de admitidos en colegios públicos y
concertados.
INFORME 114-2008 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre comunicación de informes médicos de menores a los padres.
INFORME 63-2008 del Gabinete Jurídico de la Agencia Española de Protección de Datos
sobre inclusión de datos en el Sistema Séneca.

22. 22
REAL DECRETO 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de
desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de
carácter personal. (BOE 19-1-2008)
DECRETO 25/2007, de 6 de febrero, por el que se establecen medidas para el fomento,
la prevención de riesgos y la seguridad en el uso de Internet y las tecnologías de la
información y la comunicación (TIC) por parte de las personas menores de edad. (BOJA
22-2-2007)
INFORME 227-2006 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre acceso a datos escolares por padres y familiares.
INFORME 37-2006 del Gabinete Jurídico de la Agencia Española de Protección de Datos
sobre cesión de datos de evaluación de profesorado.
RESOLUCIÓN de 27-9-2004, de la Secretaría General para la Administración Pública, por
la que se establece el manual de comportamiento de los empleados públicos en el uso
de los sistemas informáticos y redes de comunicaciones de la Administración de la Junta
de Andalucía. (BOJA 13-10-2004)
INFORME 466-2004 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre comunicación a los padres de las calificaciones de sus hijos menores de
edad.
Ley 59/2003, de 19 de diciembre, de firma electrónica. (BOE 20-12-2003)
DECRETO 183/2003, de 24 de junio, por el que se regula la información y atención al
ciudadano y la tramitación de procedimientos administrativos por medios electrónicos
(Internet). (BOJA 15-7-2003)
INFORME 0000-1999 del Gabinete Jurídico de la Agencia Española de Protección de
Datos sobre solicitudes de datos efectuadas por la Policía Judicial sin mandamiento
judicial o requerimiento previo del Ministerio Fiscal.

23. Muchas gracias