Este documento trata sobre la protección de datos personales en centros escolares. Explica conceptos clave como dato personal, ficheros de datos, tratamiento de datos y normativa básica. También describe las bases para el cumplimiento de la ley de protección de datos en centros educativos, incluyendo la elaboración de un registro de actividades de tratamiento y la planificación de medidas de seguridad.

1. LA PROTECCION DE DATOS EN
CENTROS ESCOLARES
Presentado por: Manuel Pons

2. INDICE
• INTRODUCCION
• ¿QUÉ ES UN DATO DE CARÁCTER PERSONAL?
• DATOS ESPECIALMENTE PROTEGIDOS
• TIPOS DE FICHEROS DE DATOS PERSONALES
• EL TRATAMIENTO DE DATOS
• NORMATIVA BASICA DE PROTECCION DE DATOS
• BASES PARA EL CUMPLIMIENTO DE LA LOPD EN CENTROS ESCOLARES
• DERECHOS DEL TITULAR DE DATOS PERSONALES
• RECURSOS DE AYUDA EN LA PROTECCION DE DATOS

3. INTRODUCCION
Los centros educativos necesitan tratar información personal para ejercer las
funciones que tienen encomendadas. Esta información puede ser de cualquier
persona física que se relacione con el centro, pero muy especialmente de sus
alumnos.
Tratar esta información de forma adecuada se convierte en un objetivo de
gran importancia. Por un lado, por el papel que los centros educativos deben
cumplir como transmisores de valores como la privacidad que están ligados al
respeto de los derechos de las personas. Por otro lado porque el tratamiento de
la información relativa a los menores requiere un especial cuidado.
Un tratamiento inadecuado de la información de los alumnos en esta fase
de su vida, en la que todavía se están formando, puede acabar afectando al
desarrollo de su personalidad en esta etapa y en etapas posteriores de sus
vidas.
La Ley Orgánica de Protección de Datos (LOPD) establece las bases para una
gestión adecuada de toda esta información.

4. ¿QUÉ ES UN DATO DE CARÁCTER PERSONAL?
Cualquier información alfanumérica, gráfica, fotográfica, acústica o de
cualquier otro tipo concerniente a personas físicas identificadas o identificables.
Aunque no esté asociada a una identidad, es un dato de carácter personal si a
través de dicha información se puede identificar o individualizar dentro de un
colectivo a una persona sin esfuerzos desproporcionados.
En un centro educativo son por ejemplo:
- El nombre y apellidos de un alumno, o bien de sus padres,
- Su dirección, su número de teléfono o su correo electrónico
- La profesión, los estudios o el lugar donde trabajan los padres, o su número
de cuenta bancaria.
- Todas las imágenes de los alumnos

5. DATOS ESPECIALMENTE PROTEGIDOS
Algunos de los datos personales son especialmente sensibles por revelar
circunstancias o información de las personas sobre su esfera más íntima y personal.
Se les debe prestar una especial atención y se deben adoptar medidas técnicas y
organizativas necesarias para preservar la intimidad de los titulares de los datos.
Por ejemplo, forman parte de esta categoría de datos personales aquellos que:
- revelen ideología, afiliación sindical, religión y creencias,
- hagan referencia al origen racial, a la salud y a la vida sexual,
- se refieran a la comisión de infracciones penales o administrativas.
En el ámbito educativo es frecuente, sobre todo, el tratamiento de datos
relativos a la salud física o mental de los alumnos, incluida la prestación de
servicios de atención sanitaria que revelan información sobre su estado de salud.

6. TIPOS DE FICHEROS DE DATOS PERSONALES EN LOS CENTROS EDUCATIVOS
Los ficheros más comunes en un centro educativo que deben inscribirse según el
tratamiento habitual de datos son:
- Expediente académico: ficheros sobre calificaciones, absentismo, etc. de los
alumnos.
- Personal docente: ficheros de profesores para la gestión interna del centro
escolar.
- Personal no docente: personal de mantenimiento, limpieza,…
- Servicios adicionales: servicios adicionales del centro como pueden ser, comedor,
transporte ó guardería.
- Proveedores: sobre los servicios de los proveedores.
- Admisión de alumnos: sobre los datos que se incluyen en procesos de
matriculaciones, solicitudes,…
- Asesoramiento psicopedagógico: con datos sobre dificultades de aprendizaje de
los alumnos.
- Otros ficheros. Por ejemplo, los servicios de video-vigilancia y control de accesos
Las personas físicas titulares de estos datos son los alumnos, padres, tutores,
profesores o personal de administración y servicios.

7. TRATAMIENTO DE DATOS (I)
En la práctica, cualquier actividad en la que estén presentes datos de carácter
personal constituirá un tratamiento de datos.
La recogida de los datos de los alumnos y de sus padres al inicio del curso
escolar es un ejemplo claro de tratamiento de datos de carácter personal.
También lo es el mantenimiento y la actualización del expediente del alumno y
su transmisión a un nuevo centro en caso de traslado, así como la captación y
grabación de imágenes a través de sistemas de videovigilancia.
El responsable del tratamiento de datos es la Administración Pública
Educativa en el caso de los centros públicos. En el caso de los centros concertados
y privados, los responsables del tratamiento de los datos son los propios centros.
El encargado del tratamiento es la persona física o jurídica, autoridad pública,
servicio u otro organismo que trate datos personales por cuenta del responsable
del tratamiento. No se consideran encargados del tratamiento a las personas
físicas que tengan acceso a los datos personales en su condición de empleados del
centro o de la Administración educativa que son los responsables del tratamiento.

8. TRATAMIENTO DE DATOS (II)
La cesión de datos supone su revelación a una persona distinta de su titular.
Los destinatarios o cesionarios de los datos serán las personas físicas o
jurídicas, autoridades públicas, servicios u otros organismos a los que se les
comuniquen.
Cuando se transfieren los datos de los alumnos de un centro a otro con motivo
de un cambio de matrícula o se comunican a las asociaciones de madres y padres
(AMPA) o a los Servicios Sociales o Sanitarios, Jueces, Tribunales, Cuerpos y
Fuerzas de Seguridad se produce una cesión de datos.
En cambio, no son cesiones de datos las comunicaciones de los datos de los
alumnos a las empresas para que, en nombre y previo contrato con el centro o la
Administración educativa, presten servicios, por ejemplo, de comedor, médico o
transporte.

9. NORMATIVA BASICA DE PROTECCION DE DATOS
- Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (de
aplicación hasta el 24 de mayo de 2018).
- Real decreto 1270/2007, Reglamento de la Ley Orgánica 15/1999 (aplicable
hasta el 24 de mayo de 2018).
- Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de diciembre
de 1995 relativa a la protección de las personas físicas en lo que respecta al
tratamiento de datos personales y a la libre circulación de esos datos (de
aplicación hasta el 24 de mayo de 2018).
- Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de
abril de 2016 relativo a la protección de las personas físicas en lo que respecta al
tratamiento de datos personales y a la libre circulación de estos datos y por el que
se deroga la Directiva 95/46/CE (Reglamento general de protección de datos,
aplicable a partir del 25 de mayo de 2018).
NUEVO

10. BASES PARA EL CUMPLIMIENTO DE LA LOPD EN CENTROS ESCOLARES
REGISTRO
ACTIVIDADES
TRATAMIENTO
PLANIFICAR
LA
SEGURIDAD

11. Según la LOPD, los centros educativos son los Responsables de los ficheros y deben
adoptar una serie de medidas de seguridad en relación a los sistemas de información a
través de los que se tratan los datos personales de alumnos, padres, profesores, etc.
A partir del 25/05/2018 no es necesario inscribir los distintos ficheros que
contengan datos personales ante la Agencia Española de Protección de Datos (AEPD),
pero sí elaborar un Registro de actividades de tratamiento de datos.
También deben planificar la Seguridad en el tratamiento de datos, considerando
los ficheros mediante los cuales se tramita la información, los sistemas utilizados
(informatizados o en soporte papel) y las medidas de seguridad implantadas que
impone la legislación vigente (claves individuales de acceso, control de acceso, copias
de seguridad, etc.).
Por último, se debe informar y formar al personal del centro escolar acerca de
cuáles son sus competencias sobre a la información que deben gestionar para el
ejercicio de sus funciones y cuáles son las medidas que el centro impone para
garantizar la protección de la privacidad, especialmente de los menores.

12. El Registro de Actividades de Tratamiento contendrá la siguiente información:
• el nombre y los datos de contacto del responsable y, en su caso, del
representante del responsable y del delegado de protección de datos;
• los fines del tratamiento;
• una descripción de las categorías de interesados y de las categorías de datos
personales;
• las categorías de destinatarios a quienes se comuniquen los datos personales,
incluidos los destinatarios en terceros países u organizaciones internacionales;
• en su caso, las transferencias de datos personales a un tercer país o una
organización internacional, incluida la identificación de dicho tercer país u
organización internacional;
• cuando sea posible, los plazos previstos para la supresión de las diferentes
categorías de datos;
• cuando sea posible, una descripción general de las medidas técnicas y
organizativas de seguridad.

13. La Planificación de la Seguridad se desarrollará sobre la base del Análisis de
Riesgos y, en su caso, sobre la Evaluación de Impacto en la Protección de Datos.
Los centros educativos deberán realizar una Análisis o valoración del riesgo que
suponga el tratamiento de datos que realicen o vayan a realizar (pérdida, destrucción o
alteración por mero accidente o de forma ilícita o acceso no autorizado), con la
finalidad de implantar las medidas de seguridad técnicas y organizativas necesarias.
Deben adoptar las medidas que, por defecto, garanticen que sólo se tratarán los
datos necesarios para la finalidad para la que se recogieron y que no estén accesibles a
un número indeterminado de personas.
La Evaluación de Impacto en Protección de Datos se prevé en los siguientes casos:
- Tratamiento a gran escala de datos sensibles
- Observación sistemática a gran escala de una zona de acceso público
(videovigilancia).
- Elaboración de perfiles sobre cuya base se tomen decisiones que produzcan
efectos jurídicos sobre los interesados.

14. En la web de la Agencia Española de Protección de Datos (AEPD) se encuentran
disponibles diversas herramientas de ayuda para facilitar el cumplimiento de las
obligaciones recogidas en la Ley Orgánica de Protección de Datos (LOPD) y su
Reglamento de desarrollo (RLOPD), tales como:
a) la herramienta de autoevaluación EVALUA
(https://www.agpd.es/portalwebAGPD/canalresponsable/cumples/index-ides-
idphp.php)
a) la Guía modelo para la elaboración del documento de seguridad.
(https://www.agpd.es/portalwebAGPD/canalresponsable/inscripcion_ficheros/herr
amientas_ayuda/common/modelo_doc_seguridad.doc)
¿SEGURIDAD?.... ¡POR SUPUESTO!

15. El centro debe designar un Delegado de Protección de Datos, en los términos
que disponga la futura Ley de Protección de Datos. Sus funciones básicas son:
a) informar y asesorar al responsable o al encargado del tratamiento y a los
empleados que se ocupen del tratamiento
b) supervisar el cumplimiento de lo dispuesto en la normativa en materia de
tratamiento de datos personales. Esta función incluye la asignación de
responsabilidades, la concienciación y formación del personal que participa en las
operaciones de tratamiento, y las auditorías correspondientes;
c) ofrecer el asesoramiento que se le solicite acerca de la evaluación de
impacto relativa a la protección de datos y supervisar su aplicación
d) cooperar con la autoridad de control;
e) actuar como punto de contacto de la autoridad de control

16. DERECHOS DEL TITULAR DE DATOS PERSONALES (I)
Los derechos del titular, conocidos por su acrónimo ARCO, son los siguientes:
a) El derecho de ACCESO, permite a los titulares de los datos personales conocer
y obtener gratuitamente información sobre si sus datos de carácter personal
están siendo objeto de tratamiento, con qué finalidad, qué tipo de datos tiene el
responsable del tratamiento, su origen, si no proceden de los interesados, y los
destinatarios de los datos.
b)El derecho de RECTIFICACIÓN permite corregir errores, modificar los datos que
resulten ser inexactos o incompletos y garantizar la certeza de la información
objeto de tratamiento.
c) El derecho de CANCELACIÓN permite que se supriman los datos que resulten
ser inadecuados o excesivos. La revocación del consentimiento da lugar a la
cancelación de los datos cuando su tratamiento esté basado en él.
d) El derecho de OPOSICIÓN es el derecho del interesado a que, por motivos
relacionados con su situación personal, no se lleve a cabo el tratamiento de sus
datos de carácter personal o se cese en el mismo.

17. DERECHOS DEL TITULAR DE DATOS PERSONALES (II)
Cuando se recaban o se obtienen los datos de los interesados, aun cuando no
sea necesario su consentimiento, los centros educativos han de facilitarles
información de los siguientes extremos:
a) de la existencia de un fichero o tratamiento de datos personales,
b) de la finalidad para la que se recaban los datos por ejemplo, para el ejercicio
de la función educativa, o para difundir y dar a conocer las actividades del centro,
c) de la obligatoriedad o no de facilitar los datos y de las consecuencias de
negarse,
d) de los destinatarios de los datos,
e) de los derechos de los interesados y dónde ejercitarlos,
f) de la identidad del responsable del tratamiento: el centro o la Administración
educativa
La información se puede facilitar, por ejemplo, al cumplimentar los formularios
de admisión de los alumnos en los centros o al matricularse o a través de su propia
web.

18. DERECHOS DEL TITULAR DE DATOS PERSONALES (III)
El consentimiento de los alumnos o de sus padres o tutores no se podrá
obtener de forma tácita. Es necesaria una clara acción afirmativa del interesado.
Cuando se refiera al tratamiento de datos sensibles o para transferencias
internacionales de datos, el consentimiento además deberá ser expreso.
Si se produce destrucción, pérdida, alteración accidental o ilícita,
comunicación o acceso no autorizado, lo que se denomina una “violación de
seguridad”, se habrá de notificar a la Agencia Española de Protección de Datos o
a la Autoridad autonómica correspondiente y, en su caso, comunicar a los
interesados.

19. RECURSOS DE AYUDA EN LA PROTECCION DE DATOS
• Protección de datos para centros educativos
(https://ayudaleyprotecciondatos.es/2016/08/25/proteccion-de-datos-
para-centros-educativos/)
• Guía de la AEPD para centros educativos
(www.tudecideseninternet.es/agpd1/images/guias/.../GuiaCentrosEduc
ativos.pdf)
• Manual de adecuación a la LOPD de los centros docentes en la Comunitat
Valenciana (www.dgtic.gva.es/documents/85347/.../a363d9e4-2ebe-4f1e-8b0d-
2b34cbaa2206)

20. FIN