GUíAS SECTORiALES AEPD I Guía para centros educativos

Transcripción

1

2 ÍNDiCE I II III IV V PRESENTACIÓN DECÁLOGO PARA UN CORRECTO USO DE LOS DATOS DE CARÁCTER PERSONAL EN LOS CENTROS EDUCATIVOS CONCEPTOS BÁSICOS a Qué es u dato de carácter persoal? b Datos especialmete protegidos c De quié so los datos de carácter persoal? d Qué es u fichero? e Qué se etiede por tratamieto de datos? f Quié es el resposable del tratamieto de datos? g Quié es el ecargado del tratamieto de datos? h Qué se etiede por cesió de datos? i Cuádo se produce ua trasferecia iteracioal de datos? PRINCIPIOS DE PROTECCIÓN DE DATOS a Legitimació para el tratamieto de datos b Pricipio de calidad de datos. Qué datos se puede tratar y cómo? c Trasparecia e iformació d Medidas de seguridad e Deber de secreto f Cacelació de los datos TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS a Recogida de datos por los cetros educativos i Tipos de datos ii Procedimieto de recogida b Tratamieto de los datos de los alumos i Publicació de datos ii Calificacioes iii Acceso a la iformació de los alumos iv Comuicacioes de los datos de los alumos c Tratamieto de las imágees de los alumos i Grabació de las imágees e actividades docetes ii Grabació y difusió de imágees e evetos orgaizados y celebrados e los cetros educativos iii Grabació de imágees de actividades desarrolladas fuera de los cetros educativos 2

3 ÍNDiCE d Tratamieto de datos e Iteret i Utilizació de Plataformas Educativas ii Publicació de datos e la web de los cetros iii Publicació de datos e redes sociales e Otros supuestos i Certificados del Registro Cetral de delicuetes f Videovigilacia VI VII VIII TRATAMIENTO DE DATOS POR LAS ASOCIACIONES DE MADRES Y PADRES DE ALUMNOS (AMPA) DERECHOS EN MATERIA DE PROTECCIÓN DE DATOS a Derecho de acceso b Derecho de rectificació c Derecho de cacelació d Derecho de oposició PRINCIPALES NOVEDADES DEL REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS QUE AFECTAN AL SECTOR EDUCATIVO ANEXOS I II MATERIALES Y RECURSOS ÚTILES EN MATERIA DE PRIVACIDAD Y SEGURIDAD a Tratamieto de datos de meores de edad b Medidas de seguridad c Deber de iformar d Cotratos etre resposables y ecargados del tratamieto e Trasferecias iteracioales de datos MARCO NORMATIVO BÁSICO 3

4 I PRESENTACIÓN Los cetros educativos desempeña u papel clave e el desarrollo y progreso de la sociedad. Tiee ecomedada la fució docete y orietadora de los alumos, lo que exige el tratamieto de sus datos persoales juto a los de otros colectivos como padres, tutores o profesores. Desde el mometo de la solicitud de plaza e u cetro, la fase de matrícula, la gestió de expedietes académicos, de becas o de ayudas, hasta los servicios de comedor, trasporte, etc. iheretes al fucioamieto del sistema educativo; así como para la puesta e marcha y desarrollo de actividades extraescolares. Los cetros educativos, e su tarea de hacer efectivo el derecho fudametal a la educació que costituye su razó de ser, tambié ha de observar el derecho fudametal a la protecció de los datos de carácter persoal que, al o costituir su actividad pricipal, e ocasioes geera dudas sobre la iterpretació y aplicació de su regulació. Cosciete de esta situació, la Agecia Española de Protecció de Datos (AEPD), e el ejercicio de sus competecias, realizó, co u espíritu prevetivo de impulso y fometo de la cultura de la protecció de datos, el Pla Sectorial de Oficio sobre la eseñaza reglada o uiversitaria para coocer el grado de cumplimieto de la ormativa de protecció de datos e el sector educativo. El Pla recogió la práctica llevada a cabo por los cetros docetes y estableció ua serie de coclusioes y recomedacioes de actuació publicadas e 2006 para que cada resposable realizase u aálisis de cuál era su ivel de cumplimieto de la ormativa de protecció de datos. Posteriormete, e 2015, se publicó el iforme de la Ispecció sectorial de oficio sobre servicios de cloud computig e el sector educativo realizada por la Agecia, y que obedece a la ecesidad de dar respuestas a las cuestioes que se le platea ate la cada vez más extedida utilizació de plataformas de gestió educativa y de apredizaje o etoros virtuales de apredizaje. Su objetivo, además de verificar el grado de cumplimieto de la ormativa de protecció de datos, es el de facilitar la evolució de la educació hacia u etoro digital y cotribuir a que el desarrollo de uevos modelos de estos servicios respete los derechos de los afectados. Trascurridos más de 10 años desde la primera de las actuacioes llevadas a cabo e el ámbito de la educació o uiversitaria, el tratamieto de los datos de carácter persoal e el sector educativo, au cuado se ha ido impregado de la cultura de protecció de datos, merece, por varios motivos, que se le vuelva a prestar ateció. 4

5 PRESENTACIÓN Además, hay que teer presete la especial cosideració que se debe prestar a los meores, particularmete por los poderes públicos, que ha llevado a la Agecia Española de Protecció de Datos a icluir la protecció de los meores etre las líeas de actuació prioritarias de su Pla Estratégico , a través de ua serie de medidas dirigidas, etre otros sectores, al educativo co la fialidad de reforzar y garatizar la protecció de sus derechos y libertades. De ua parte, la evidecia de que aú persiste dudas e los cetros educativos, e sus equipos directivos y e el profesorado sobre cómo proceder ate determiadas situacioes e las que está presetes datos de carácter persoal, como se aprecia e las cosultas que la Agecia viee recibiedo de los propios cetros, profesores y padres de los alumos a través del caal específico de comuicació: por correo electróico (caaljove@agpd.es), teléfoo de ateció específica ( ) y WhatsApp ( ). Cosultas que ha permitido coocer de primera mao cuáles so estas situacioes y que, juto co las aportacioes que ha hecho llegar los itegrates de la comuidad educativa, ha costituido ua buea base para la elaboració de esta Guía. De otra, el vertigioso desarrollo de las tecologías de la iformació y la comuicació de uso habitual por los cetros docetes; la cosecuete evolució de ciertos criterios e la iterpretació de la ormativa de protecció de datos que afecta a la actividad de los cetros educativos; y la próxima aplicació, el 25 de mayo de 2018, del Reglameto Geeral de Protecció de Datos, que armoiza y regula el tratamieto de datos de carácter persoal e la Uió Europea, acoseja la elaboració de esta Guía que, e lo que respecta a la utilizació de servicios de cloud computig (plataformas de gestió educativa y etoros virtuales de apredizaje), se complemeta co las coclusioes y recomedacioes icluidas e el iforme de la Ispecció sectorial de 2015, y que forma parte del cojuto de guías e iiciativas adoptadas por la Agecia Española de Protecció de Datos co el propósito de facilitar el coocimieto y cumplimieto de la ormativa de protecció de datos. Auque los cetros educativos e el ejercicio de su fució trata datos de carácter persoal o sólo de los alumos sio tambié de otros colectivos como el de empleados o proveedores; la Guía está dirigida fudametalmete al tratamieto de los datos de los alumos y sus familiares, que so los pricipales colectivos afectados, tato e úmero, co más de ocho milloes de alumos, como por las categorías y aturaleza de los datos que de ellos se dispoe, que icluye datos de salud o de cofesió religiosa. Para los tratamietos de datos de estos otros colectivos la Agecia Española de Protecció de Datos dispoe de materiales y recursos accesibles a través de su págia web. 5

6 PRESENTACIÓN Esta guía, que está precedida por u Decálogo del correcto uso de la iformació persoal, icluye los coceptos y pricipios básicos e materia de protecció de datos co el objetivo de compreder más fácilmete su aplicació e las cocretas situacioes que se preseta e la práctica teiedo presete la perspectiva del uevo Reglameto Geeral de Protecció de Datos. Cotiúa co los capítulos dedicados a dar respuesta, de maera temática, a las cuestioes que los distitos itegrates de la comuidad educativa ha hecho llegar a la Agecia, y sobre las pricipales ovedades del Reglameto Geeral de Protecció de Datos que directamete afecta al sector educativo. Fializa co dos aexos, uo sobre los materiales, recursos y coteidos de la págia de la Agecia sobre el tratamieto de datos de los meores de edad, y u segudo que cotiee el marco ormativo aplicable. El Reglameto Geeral de Protecció de Datos (RGPD) que será aplicable a partir del 25 de mayo de 2018, e alguos aspectos, como los coceptos, pricipios o derechos de los iteresados, coserva los de la regulació actualmete aplicable, pero modifica alguos otros y cotiee uevas obligacioes que habrá de ser cumplidas por los sujetos obligados segú sus circustacias. Au cuado e el mometo e que ve la luz esta publicació todavía o resulta aplicable el Reglameto Geeral de Protecció de Datos se ha teido e cueta su regulació, razó por la cual o se hace referecia a los ficheros y su iscripció e el Registro Geeral de Protecció de Datos, cuya obligatoriedad se suprime e el Reglameto. Así mismo, se ecuetra e tramitació ua ueva Ley Orgáica de Protecció de Datos que igualmete motivará la actualizació de la guía, adaptádola a la ormativa específica tato del Reglameto europeo como de la futura Ley Orgáica de Protecció de Datos que se apruebe. Es por ello que la Guía o se preseta como u documeto estático e ialterable, sio diámico, revisable y actualizable para poder alcazar su objetivo de ser u istrumeto útil para el sector educativo. Cofiamos e que el uso resposable de Iteret alcace su pleo desarrollo como materia e el currículo de cada etapa educativa, sólo etoces podremos costatar el avace cualitativo y cuatitativo e la protecció del derecho fudametal a la protecció de datos por parte de la comuidad educativa. 6

7 II DECÁLOGO PARA UN CORRECTO USO DE LOS DATOS DE CARÁCTER PERSONAL EN LOS CENTROS EDUCATIVOS Los equipos directivos, profesores, persoal admiistrativo y auxiliar de los cetros educativos e el ejercicio de sus fucioes y tareas ecesita tratar datos de carácter persoal de los alumos y de sus familiares, lo que deberá realizar co la debida diligecia y respeto a su privacidad e itimidad, teiedo presete el iterés y la protecció de los meores. Las Admiistracioes y los cetros educativos so los resposables del tratamieto de los datos y debe formar sobre sus pricipios básicos y cómo hacerlo correctamete. Por regla geeral, los cetros educativos o ecesita el cosetimieto de los titulares de los datos para su tratamieto, que estará justificado e el ejercicio de la fució educativa y e la relació ocasioada co las matrículas de los alumos. No obstate, se les debe iformar e u leguaje claro y secillo, que se puede realizar e el mismo impreso e el que se recoja los datos de: la existecia de u fichero o tratamieto de datos persoales, la fialidad para la que se recaba los datos y su licitud, por ejemplo, para el ejercicio de la fució educativa, o para difudir y dar a coocer las actividades del cetro, la obligatoriedad o o de facilitar los datos y las cosecuecias de la egativa a facilitarlos, los destiatarios de los datos, los derechos de los iteresados y dóde ejercitarlos, la idetidad del resposable del tratamieto: la Admiistració educativa o el cetro, El Reglameto europeo amplía, a partir del 25 de mayo de 2018, la iformació que debe facilitarse a los titulares de los datos cuado se recabe de ellos mismos, añadiedo los datos de cotacto del delegado de protecció de datos y el plazo de coservació o los criterios para determiarlo. Cuado sea preciso obteer el cosetimieto de los alumos o de sus padres o tutores para la utilizació de sus datos persoales por tratarse de fialidades distitas a la fució educativa, se debe iformar co claridad de cada ua de ellas, permitiedo a los iteresados opoerse a aquellas que así lo cosidere. Las TIC so herramietas fudametales para la gestió y el apredizaje de los alumos. Las Admiistracioes educativas y los cetros debe coocer las aplicacioes que vaya a utilizar, su política de privacidad y sus codicioes de uso de éstas ates de utilizarlas, debiedo rechazarse las que o ofrezca iformació sobre el tratamieto de los datos persoales que realice. II DECÁLOGO

8 Las Admiistracioes educativas y los cetros debe dispoer de protocolos, istruccioes, guías, directrices o recomedacioes para el uso de las TIC por los profesores, que deberá utilizar las que la Admiistració educativa y/o el cetro haya dispuesto. Su eseñaza y uso deberá adaptarse al grado de desarrollo del iño. Las comuicacioes etre profesores y padres de alumos debe llevarse a cabo, preferetemete, a través de los medios puestos a disposició de ambos por el cetro educativo (plataformas educativas, correo electróico del cetro). El uso de aplicacioes de mesajería istatáea (como WhatsApp) etre profesores y padres o etre profesores y alumos o se recomieda. No obstate, e aquellos casos e los que el iterés superior del meor estuviera comprometido, como e caso de accidete o idisposició e ua excursió escolar, y co la fialidad de iformar y traquilizar a los padres, titulares de la patria potestad, se podría captar imágees y eviárselas. Los profesores debe teer cuidado co los coteidos del trabajo de clase que sube a Iteret. Debe eseñar a valorar la privacidad de uo mismo y la de los demás, así como eseñar a los alumos que o puede sacar fotos i videos de otros alumos i de persoal del cetro escolar si su cosetimieto y hacerlos circular por las redes sociales, para evitar cualquier forma de violecia (ciberacoso, groomig, sextig o de violecia de géero). Cuado los cetros educativos orgaice y celebre evetos (fiestas de Navidad, fi de curso, evetos deportivos) a los que asista los familiares de los alumos, costituye ua buea práctica iformarles, por ejemplo, al solicitarles la autorizació para participar o mediate avisos o carteles, de la posibilidad de grabar imágees exclusivamete para su uso persoal y doméstico (actividades privadas, familiares y de amistad). 8 II DECÁLOGO

9 III CONCEPTOS BÁSiCOS a. Qué es u dato de carácter persoal? Cualquier iformació alfaumérica, gráfica, fotográfica, acústica o de cualquier otro tipo coceriete a persoas físicas idetificadas o idetificables. Auque o esté asociada a ua idetidad, es u dato de carácter persoal si a través de dicha iformació se puede idetificar o idividualizar detro de u colectivo a ua persoa si esfuerzos desproporcioados. El ombre y apellidos de u alumo, de sus padres, su direcció, su úmero de teléfoo o su correo electróico so datos de carácter persoal. Tambié lo so las imágees de los alumos o, por ejemplo, la profesió, los estudios o el lugar dode trabaja los padres, o su úmero de cueta bacaria. b. Datos especialmete protegidos Alguos de los datos persoales so especialmete sesibles por revelar circustacias o iformació de las persoas sobre su esfera más ítima y persoal. Requiere que se les preste ua especial ateció y se adopte las medidas técicas y orgaizativas ecesarias para evitar que su tratamieto origie lesioes e los derechos y libertades de los titulares de los datos. Forma parte de esta categoría de datos persoales aquellos que: revele ideología, afiliació sidical, religió y creecias, haga referecia al orige racial, a la salud y a la vida sexual, se refiera a la comisió de ifraccioes peales o admiistrativas. E el ámbito educativo es frecuete, sobre todo, el tratamieto de datos relativos a la salud física o metal de los alumos, icluida la prestació de servicios de ateció saitaria que revela iformació sobre su estado de salud. 9 III CONCEPTOS BÁSICOS

10 Los cetros educativos recaba e muchos casos, a través de sus servicios médicos o botiquies, datos de salud relacioados co las lesioes o efermedades que pudiera sufrir los alumos durate su estacia e el cetro. Tambié recoge datos de salud de los alumos para el ejercicio de la fució educativa, discapacidades físicas o psíquicas, por ejemplo del sídrome TDAH. Para prestar el servicio de comedor tambié es ecesario recabar datos de salud que permita coocer los alumos que so celiacos, diabéticos o que padece alergias alimetarias. Tambié so datos de salud los coteidos e los iformes psicopedagógicos de los alumos. No tiee la cosideració de categoría especial de datos o datos sesibles el que u alumo curse la asigatura de religió, ya que el mero hecho de cursar la misma o implica revelació de su cofesió religiosa. El Reglameto Geeral de Protecció de Datos deomia a los datos especialmete protegidos como categorías especiales de datos, icluyedo de forma específica e estas categorías los datos biométricos y los datos geéticos. c. De quié so los datos de carácter persoal? De la persoa física titular de los datos, como los alumos, padres, tutores, profesores o persoal de admiistració y servicios. So los afectados o iteresados. Cada persoa es titular de sus respectivos datos de carácter persoal. 10 III CONCEPTOS BÁSICOS

11 d. Qué es u fichero? T odo cojuto estructurado de datos persoales, accesibles co arreglo a criterios determiados, ya sea cetralizado, descetralizado, repartido de forma fucioal o geográfica o tratado de forma maual o automática. Los datos que cotiee los ficheros respode a operacioes de tratamieto para fialidades determiadas. Ejemplos de ficheros: Expediete académico del alumo Actividades extraescolares Persoal docete Persoal o docete Videovigilacia Facturació Servicio médico El RGPD suprime la obligació de otificar los ficheros a la Agecia Española de Protecció de Datos y a las autoómicas, y se cetra e las actividades del tratamieto. e. Qué se etiede por tratamieto de datos? E la práctica, cualquier actividad e la que esté presetes datos de carácter persoal costituirá u tratamieto de datos, ya se realice de maera maual o automatizada, total o parcialmete, como la recogida, registro, orgaizació, estructuració, coservació, adaptació o modificació, extracció, cosulta, utilizació, comuicació por trasmisió, difusió o cualquier otra forma de habilitació de acceso, cotejo o itercoexió, limitació, supresió o destrucció. La recogida de los datos de los alumos y de sus padres al iicio del curso escolar es u ejemplo claro de tratamieto de datos de carácter persoal. Igualmete lo es el mateimieto y la actualizació del expediete del alumo y su trasmisió a u uevo cetro e caso de traslado, así como la captació y grabació de imágees a través de sistemas de videovigilacia. 11 III CONCEPTOS BÁSICOS

12 f. Quié es el resposable del tratamieto de datos? E l resposable del tratamieto es la persoa física o jurídica, pública o privada, que decide sobre la fialidad, coteido y uso del mismo, bie por decisió directa o porque así le viee impuesto por ua orma legal. Cuado se trate de cetros educativos públicos, el resposable del tratamieto será ormalmete la Admiistració pública correspodiete: la Cosejería de la Comuidad Autóoma competete e materia educativa, salvo para los cetros de Ceuta y Melilla o los cetros e el exterior titularidad del Estado depedietes del Miisterio de Educació Cultura y Deporte. Cuado se trata de cetros cocertados y privados los resposables del tratamieto de los datos será los propios cetros. g. Quié es el ecargado del tratamieto de datos? E l ecargado del tratamieto es la persoa física o jurídica, autoridad pública, servicio u otro orgaismo que trate datos persoales por cueta del resposable del tratamieto. E determiados casos, los cetros educativos para cumplir sus fucioes ecesita cotar co la colaboració de otras persoas o etidades que o forma parte de su orgaizació, por ejemplo, para el servicio de comedor, servicio médico, trasporte o para la realizació de actividades extraescolares. Estas persoas y etidades para prestar sus servicios tambié trata los datos de carácter persoal de los alumos y de sus padres o tutores, pero lo hace por ecargo del resposable del tratamieto, es decir del cetro o de la Admiistració educativa. Las empresas que realiza este tipo de servicios tiee, e relació co el tratamieto de datos persoales que realiza, la cosideració de ecargados de tratamieto. 12 III CONCEPTOS BÁSICOS

13 Es ecesario que el tratamieto de datos que implica la prestació del servicio se rija por u cotrato que deberá icluir las garatías adecuadas: La obligació del ecargado del tratamieto de tratar los datos úicamete coforme a las istruccioes del cetro o Admiistració educativa que ostete e cada caso la codició de resposable del tratamieto. Que los datos o se utilizará para fialidades distitas de las previstas e el cotrato, i se comuicará a otras persoas, i siquiera para su coservació. Las medidas de seguridad a implatar por el ecargado del tratamieto. La devolució de los datos al cetro o a la Admiistració educativa que sea resposable o al ecargado del tratamieto que ésta desige o, e su defecto, su destrucció ua vez fializado el cotrato. No se cosidera ecargados del tratamieto a las persoas físicas que tega acceso a los datos persoales e su codició de empleados del cetro o de la Admiistració educativa que so los resposables del tratamieto. El Reglameto Geeral de Protecció de Datos establece u deber de diligecia e la elecció del ecargado del tratamieto y u coteido más detallado del cotrato. La Agecia Española, la Agecia Vasca y la Autoridad Catalaa de Protecció de Datos ha publicado uas Directrices para la elaboració de estos cotratos etre resposable y ecargado del tratamieto. Las empresas que sea cotratadas por el cetro o la Admiistració educativa para prestar los servicios de comedor, servicio médico, trasporte escolar o el de seguridad tiee la cosideració de ecargados del tratamieto de datos persoales. El equipo directivo del cetro, los profesores, o el persoal de admiistració y servicios del cetro educativo o so ecargados del tratamieto. h. Qué se etiede por cesió de datos? La cesió de datos supoe su revelació a ua persoa distita de su titular. Los destiatarios o cesioarios de los datos será las persoas físicas o jurídicas, autoridades públicas, servicios u otros orgaismos a los que se les comuique. Los titulares de los datos o so uca los cesioarios de sus propios datos, auque o se haya obteido de ellos. Si embargo, o se cosidera cesioes de datos las comuicacioes de los datos de los alumos a las empresas que tega la codició de ecargados del tratamieto, coforme a lo que se idica e el apartado aterior. 13 III CONCEPTOS BÁSICOS

14 Cuado se trasfiere los datos de los alumos de u cetro a otro co motivo de u cambio de matrícula o se comuica a las asociacioes de madres y padres (AMPA) o a los Servicios Sociales o Saitarios, Jueces, Tribuales, Cuerpos y Fuerzas de Seguridad se produce ua cesió de datos. E cambio, o so cesioes de datos las comuicacioes de los datos de los alumos a las empresas para que, e ombre y previo cotrato co el cetro o la Admiistració educativa, preste servicios, por ejemplo, de comedor, médico o trasporte. i. Cuádo se produce ua trasferecia iteracioal de datos? Siempre que los datos persoales se evía fuera del ámbito de Espacio Ecoómico Europeo (EEE), que comprede todos los Estados miembros de la Uió Europea, más Noruega, Isladia y Liechtestei, se produce ua trasferecia iteracioal de datos, ya se realice para que el destiatario de los datos preste u servicio al cetro educativo o para que los trate para ua fialidad propia. Se realiza trasferecias iteracioales de datos cuado se cotrata servicios de cloud computig e los que, por ejemplo, el alojamieto de datos se realiza e servidores fuera del EEE, o cuado se comuica a cetros educativos establecidos e países fuera de este ámbito para realizar itercambios de alumos o periodos de formació. No so trasferecias iteracioales de datos las que se realice co destio a Estados de la Uió Europea o del EEE, auque dichas trasmisioes deberá cumplir los requisitos establecidos por la Ley para la validez de las cesioes de datos o la cotratació de u ecargado del tratamieto. 14 III CONCEPTOS BÁSICOS

15 IV PRiNCiPiOS DE PROTECCiÓN DE DATOS a. Legitimació para el tratamieto de datos El tratamieto de datos persoales ecesita estar legitimado. Por ejemplo, se puede tratar los datos si sus titulares presta su cosetimieto previo. Cuado el titular de los datos es u meor de 14 años, o e los supuestos e que así se exigiera por la Ley si fuera mayor de esa edad, el cosetimieto deberá prestarse por sus padres o tutores. El Reglameto europeo establece e 16 años la edad límite para prestar el cosetimieto, auque los Estados de la Uió Europea podrá rebajarlo hasta u míimo de 13 años, edad que se establece e la ueva Ley Orgáica de Protecció de Datos, aú e tramitació, para poder prestar el cosetimieto. El cosetimieto para tratar datos persoales se puede revocar e cualquier mometo, pero la revocació o surtirá efectos retroactivos y se tiee que iformar de ello a los iteresados. Cuado el tratamieto se base e el cosetimieto, correspode al resposable del tratamieto la prueba de su existecia. Pero además del cosetimieto, existe otras posibles bases que legitima el tratamieto de datos si ecesidad de cotar co la autorizació de su titular. La pricipal de ellas es la referida a los supuestos e que ua orma co rago de Ley autorice el tratamieto o icluso obligue al resposable a llevarlo a cabo. Tambié será legítimo el tratamieto de datos cuado sea ecesario para el desarrollo y ejecució de ua relació jurídica etre el resposable y el afectado, o para la satisfacció de u iterés legítimo del resposable siempre que dicho iterés o prevalezca sobre los derechos y libertades de los afectados, e particular cuado éstos sea iños. Los cetros docetes está legitimados por la Ley Orgáica de Educació de 2006 (LOE) para el tratamieto de los datos e el ejercicio de la fució educativa. Tambié está legitimados para el desarrollo y ejecució de la relació jurídica que se produce co la matriculació del alumo e u cetro, así como por el cosetimieto de los iteresados, o de sus padres o tutores si so meores de 14 años, o por la existecia e los cetros privados de itereses legítimos que, previa poderació co los derechos y libertades de los afectados, se cosidere que prevalece sobre éstos. 15 IV PRINCIPIOS DE PROTECCIÓN DE DATOS

16 La LOE autoriza a los cetros educativos a recabar y tratar los datos de los alumos y de sus padres o tutores cuado sea ecesario para el desempeño de la fució docete y orietadora. Al marge de esta fució, los cetros educativos tambié podrá llevar a cabo el tratamieto de datos persoales cuado: sea ecesario para el cumplimieto de la relació jurídica que se establezca co la matrícula. se dispoga del cosetimieto de los iteresados. pueda existir u iterés legítimo que prevalezca sobre los derechos y libertades de los iteresados. El tratamieto de datos de carácter persoal ha de ser lícito, es decir, debe respoder a algua de las circustacias que legitima su tratamieto y observar los pricipios de protecció de datos simultáeamete. b. Pricipio de calidad de datos Qué datos se puede tratar y cómo? Los datos ha de ser tratados de maera lícita, leal y trasparete e relació co su titular. No se puede recoger i tratar más datos persoales que los estrictamete ecesarios para la fialidad perseguida e cada caso (como la educació y orietació de los alumos o el cumplimieto de relacioes jurídicas o, e su caso, la divulgació y difusió de los cetros y de sus actividades). Es decir, debe respoder a ua fialidad legítima, o se puede recabar de maera frauduleta y su utilizació debe ser coocida por los titulares. Los datos deberá ser exactos y estar actualizados. Se deberá suprimir o actualizar los datos que o so correctos. No será ecesario recoger los datos del lugar de acimieto de las madres y padres de los alumos. Cuado los datos se recoge directamete del iteresado e el formulario de reserva de plaza o de matriculació se presume exactos. Si se recogiero datos para realizar la matrícula, o se podrá utilizar para fialidades diferetes del ejercicio de la fució educativa, como la publicació de fotografías de los alumos e la web del cetro o la comuicació de sus datos a museos o empresas para orgaizar visitas, salvo que se haya recabado el cosetimieto de los alumos o de sus padres o tutores tras haberles iformado de ello. 16 IV PRINCIPIOS DE PROTECCIÓN DE DATOS

17 c. Trasparecia e iformació Cuado se recaba o se obtiee los datos de los iteresados, au cuado o sea ecesario su cosetimieto, los cetros educativos ha de facilitarles iformació de los siguietes extremos: de la existecia de u fichero o tratamieto de datos persoales, de la fialidad para la que se recaba los datos y su licitud, por ejemplo, para el ejercicio de la fució educativa, o para difudir y dar a coocer las actividades del cetro, de la obligatoriedad o o de facilitar los datos y de las cosecuecias de egarse, de los destiatarios de los datos, de los derechos de los iteresados y dóde ejercitarlos, de la idetidad del resposable del tratamieto: el cetro o la Admiistració educativa. La iformació se puede facilitar, por ejemplo, al cumplimetar los formularios de admisió de los alumos e los cetros o al matricularse o a través de su propia web. El RGPD amplía la iformació que debe facilitarse a los titulares de los datos cuado se recabe de ellos mismos, añadiedo los datos de cotacto del delegado de protecció de datos, el plazo de coservació o los criterios para determiarlo. Esta comuicació debe realizarse de forma cocisa, trasparete, iteligible y de fácil acceso, e leguaje claro y secillo, especialmete cuado se dirija a los iños. La AEPD, juto a la Agecia del País Vasco y la Autoridad Catalaa de Protecció de Datos, ha publicado ua Guía para el cumplimieto del deber de iformar que establece el RGPD. 17 IV PRINCIPIOS DE PROTECCIÓN DE DATOS

18 d. Medidas de seguridad Los cetros y las Admiistracioes educativas, como resposables de los tratamietos de datos persoales que realiza, debe adoptar ua serie de medidas de seguridad, de carácter técico y orgaizativo, que garatice la seguridad de los citados datos, es decir, su itegridad y cofidecialidad y la protecció frete al tratamieto o autorizado o ilícito y cotra su pérdida, destrucció o daño accidetal. E la actualidad, el Reglameto de desarrollo de la LOPD, e su Título VIII, cofigura u catálogo de medidas de seguridad e tres iveles (básico, medio y alto) e fució del tipo de datos, de quié sea el resposable del tratamieto y de la fialidad para la que se trate. Además, las Admiistracioes educativas deberá cumplir, e su caso, co los pricipios básicos y requisitos míimos que permita ua protecció adecuada de la iformació de coformidad co lo establecido e el Esquema Nacioal de Seguridad (Real Decreto 3/2010, de 8 de eero, por el que se regula el Esquema Nacioal de Seguridad e el ámbito de la Admiistració Electróica). El RGPD, si embargo, o establece u catálogo de medidas de seguridad a aplicar, sio que parte de las siguietes premisas: E primer lugar, relacioado co el pricipio de resposabilidad activa, los resposables debe realizar ua valoració del riesgo de los tratamietos que realice, a fi de establecer qué medidas se debe aplicar y cómo hacerlo. E segudo lugar, y e fució de los riesgos detectados e el aálisis realizado ateriormete citado, los resposables y ecargados debe adoptar las medidas de seguridad, teiedo e cueta: el coste de la técica los costes de aplicació la aturaleza, alcace, cotexto y fies del tratamieto los riesgos para los derechos y libertades Asimismo, el RGPD prevé que cada resposable, cetro o Admiistració educativa deberá mateer documetació relativa a las actividades de tratamieto efectuadas bajo su resposabilidad que icluya, cuado sea posible, ua descripció geeral de las medidas de seguridad adoptadas teiedo e cueta el estado de la técica, los costes de aplicació, y la aturaleza, el alcace, el cotexto y los fies del tratamieto, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las persoas físicas. Los cetros y las Admiistracioes educativas, como resposables del tratamieto, tomará medidas para garatizar que cualquier persoa que actúe bajo su autoridad y tega acceso a datos persoales sólo pueda tratar dichos datos e el ejercicio de las fucioes que tega asigadas. 18 IV PRINCIPIOS DE PROTECCIÓN DE DATOS

19 E la web de la Agecia Española de Protecció de Datos se ecuetra dispoibles diversas herramietas de ayuda para facilitar el cumplimieto de las obligacioes recogidas e la Ley Orgáica de Protecció de Datos (LOPD) y su Reglameto de desarrollo (RLOPD), tales como la herramieta de autoevaluació EVALUA o la Guía modelo para la elaboració del documeto de seguridad. Además, se puede acceder a los siguietes recursos e materia de seguridad de la iformació: Web del Cetro Criptológico Nacioal (CCN-CERT) y, e cocreto, el apartado dedicado a la Gestió de icidetes, dirigido fudametalmete a las Admiistracioes públicas y e el que se ofrece diversos recursos relacioados co la seguridad de la iformació, tales como la otificació de icidecias de seguridad, herramietas de aálisis de riesgos y diversos recursos orietados al cumplimieto del Esquema Nacioal de Seguridad por las Admiistracioes públicas, sistemas clasificados y empresas de iterés estratégico para el país. Buea parte de sus servicios (formació, iformes, guías, herramietas, etc.) está publicados e este portal y so de libre disposició. Web del Istituto Nacioal de Ciberseguridad (INCIBE) y la Oficia de Seguridad del Iterauta (OSI), dode se ecuetra dispoibles herramietas para el autodiagóstico y la formació sobre ciberseguridad. e. Deber de secreto T odas las persoas que tega acceso a datos de carácter persoal está obligadas a guardar secreto sobre los mismos. Este deber de secreto es esecial para garatizar el derecho fudametal a la protecció de datos y es de obligado cumplimieto para todas las persoas que preste sus servicios e los cetros y Admiistracioes educativas -docetes, persoal admiistrativo o de servicios auxiliares-, e relació co los datos de carácter persoal a los que acceda. Además, el deber de secreto subsiste icluso ua vez fializa la relació co el resposable o co el ecargado de tratamieto. 19 IV PRINCIPIOS DE PROTECCIÓN DE DATOS

20 f. Cacelació de los datos Uo de los pricipios de protecció de datos es el que hace referecia al tiempo que debe coservarse los datos de carácter persoal por parte de los resposables del tratamieto. Como regla geeral, se coservará por el tiempo estrictamete ecesario para las fialidades para las que se recabaro y para hacer frete a las resposabilidades que se pudiera derivar de su tratamieto, de maera que cuado haya dejado de ser ecesarios o pertietes para dicha fialidad deberá producirse la cacelació de los mismos. La cacelació da lugar al bloqueo de los datos, que o implica su borrado material sio su idetificació co la fialidad de impedir su ulterior proceso o utilizació, excepto para poerlos a disposició úicamete de las Admiistracioes públicas, Jueces y Tribuales para la determiació de posibles resposabilidades acidas del tratamieto y sólo durate el plazo de prescripció de éstas, limitádose e este caso el acceso a persoas co la máxima resposabilidad. Cumplido dicho plazo debe procederse a su destrucció, para lo que se deberá utilizar medios que asegure que o pueda acceder a los datos terceros o autorizados. El tiempo que se debe coservar los datos será el que establezca las disposicioes aplicables o, e su caso, las relacioes cotractuales etre los iteresados y los cetros educativos. Dada la pluralidad de ficheros y fialidades para las que se recaba y trata los datos, o se puede establecer u determiado plazo, si bie deberá mateerse e cuato que pueda ser ecesarios para el ejercicio de algua acció por parte de los alumos, por lo que resultaría preciso defiir el alcace de las resposabilidades de los cetros educativos e relació co el coteido y custodia de los datos. Los datos icluidos e los procesos de admisió será cacelados ua vez fializados los procedimietos admiistrativos y judiciales de reclamació. Los exámees de los alumos o debería mateerse más allá de la fializació del periodo de reclamacioes. Los datos del expediete académico, e cambio, debe ser coservados, ya que puede ser solicitados por los alumos co posterioridad a la fializació de sus estudios. 20 IV PRINCIPIOS DE PROTECCIÓN DE DATOS

21 V TRATAMiENTO DE DATOS POR LOS CENTROS EDUCATiVOS La fialidad de los cetros docetes es la de educar y orietar a los alumos, misió para la que ha de tratar sus datos de carácter persoal, así como los de sus padres y tutores. Este tratamieto se iicia desde el mismo mometo e el que se solicita plaza e u cetro, cotiúa co la matriculació del alumo y se matiee durate toda su estacia e el cetro, e icluso ua vez que haya fializado sus estudios mediate la coservació del expediete académico. a. Recogida de datos por los cetros educativos a.i Tipos de datos Qué datos puede recabar los cetros educativos? La LOE legitima a los cetros a recabar datos de carácter persoal para la fució docete y orietadora de los alumos e referecia a: El orige y ambiete familiar y social. Las características o codicioes persoales. El desarrollo y resultados de su escolarizació. Las circustacias cuyo coocimieto sea ecesario para educar y orietar a los alumos. Por tato, la LOE legitima a los cetros educativos para recabar y tratar los datos de los alumos y de sus padres o tutores, icluyedo tambié las categorías especiales de datos, como los de salud o de religió, cuado fuese ecesarios para el desempeño de la fució docete y orietadora. Pero tambié hay que teer e cueta ua serie de cautelas: Los datos persoales o podrá usarse para fies diferetes al educativo (fució docete y orietadora). El profesorado y resto del persoal que acceda a los datos persoales de los alumos o de sus familias está sometido al deber de guardar secreto. 21 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

22 Es importate teer e cueta que o podrá recabarse datos que sea excesivos para dicha fialidad. Por ejemplo, e el caso de las solicitudes de plaza e u cetro o es ecesario recabar los datos bacarios para el pago de actividades extraescolares hasta que o se hubiera resuelto el proceso y fuese admitido el alumo. Se puede recabar datos sobre la situació familiar de los padres de los alumos? Sí, los cetros educativos puede recabar la iformació sobre la situació familiar de los alumos. Esta iformació debe estar actualizada y los progeitores ha de iformar a los cetros sobre cualquier modificació. Si los padres del alumo está separados o divorciados, debe recabarse iformació sobre quié osteta la patria potestad, si ambos o uo sólo, y quié osteta la guarda y custodia. Tambié de quiées so las persoas autorizadas a recoger al alumo. Se puede recabar datos de salud? Sí, e la medida e que sea ecesarios para el ejercicio de la fució educativa. Se puede distiguir los siguietes mometos: E la matriculació del alumo: discapacidades, efermedades cróicas, TDAH, itoleracias alimetarias o alergias. Durate el curso escolar: el tratamieto médico que reciba u alumo a través del servicio médico o de efermería del cetro o los iformes de cetros saitarios a los que se le haya trasladado como cosecuecia de accidetes o idisposicioes sufridas e el cetro o los iformes de los equipos de orietació psicopedagógica. 22 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

23 Se puede recabar datos biométricos? La ormativa de protecció de datos exige que los datos que se recabe sea adecuados, pertietes y o excesivos. Ha de respoder al pricipio de proporcioalidad, esto es, que sea idóeos para la fialidad que se pretede coseguir co su recogida, que o haya otros medios meos itrusivos para ello y que de su tratamieto se derive más beeficios para el iterés geeral que perjuicios sobre otros biees y valores. Teiedo e cueta la itromisió e la itimidad de las persoas que el tratamieto de este tipo de datos puede ocasioar, la Agecia Española de Protecció de Datos ha admitido la utilizació de la huella dactilar para fialidades como el cotrol de acceso al servicio de comedor e cetros escolares co u gra úmero de alumos, siempre que se adopte medidas que refuerce la cofidecialidad de los datos como la coversió de la huella a u algoritmo, el cifrado de la iformació, la viculació a u dato distito de la idetificació directa del alumo o la limitació de los protocolos de acceso a los datos. El RGPD icluye a los datos biométricos detro de las categorías especiales de datos. Se puede recabar imágees de los alumos para el expediete académico? Etre los datos que puede recabar los cetros educativos para el ejercicio de la fució docete y orietadora si cosetimieto de los alumos se puede icluir sus fotografías a los efectos de idetificar a cada alumo e relació co su expediete. Se puede recabar datos para fialidades distitas de la fució propiamete educativa? Al marge de la fució educativa, los cetros puede recabar datos para otras fialidades legítimas, como puede ser la gestió de la relació jurídica derivada de la matriculació de los alumos, o dar a coocer la oferta académica, participar co los alumos e cocursos educativos u ofrecer servicios deportivos, de ocio o culturales. E estos casos, se podrá recabar bie como cosecuecia de la relació jurídica establecida co la matrícula o si media el cosetimieto previo de los alumos o de sus padres o tutores. Además, co carácter previo a la obteció del cosetimieto, se debe cumplir co el derecho de iformació de los titulares de los datos o a sus padres o tutores si so meores de 14 años, como se especifica e el apartado IV.c) sobre Trasparecia e iformació. 23 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

24 a.ii Procedimieto de recogida Cuado se recaba datos persoales, es ecesario iformar a los iteresados? Sí, siempre, auque o sea ecesario obteer su cosetimieto. Los cetros y las Admiistracioes educativas ha de iformar de los extremos que se idica e el apartado IV.c) sobre Trasparecia e iformació. Debe los padres facilitar los datos al cetro educativo? La LOE establece que los padres o tutores y los propios alumos deberá colaborar e la obteció de la iformació ecesaria si la que o sería posible el desarrollo de la fució educativa, estado los cetros exceptuados de solicitar el cosetimieto previo e relació a aquellos datos de carácter persoal que sea ecesarios para dicha fialidad. Tambié debe facilitar los datos ecesarios para el cumplimieto de la relació jurídica que se establece co la matrícula. E los casos e los que es ecesario el cosetimieto de los alumos o de sus padres o tutores, cuádo y cómo hay que recabarlo? El cosetimieto, cuado es la causa que legitima el tratamieto, se ha de obteer co carácter previo a su recogida. Se puede icluir e el mismo impreso o formulario e el que se recaba los datos. El cosetimieto ha de ser iequívoco y específico, correspodiedo al cetro o a la Admiistració educativa acreditar su existecia. Para los datos que haga referecia al orige racial, a la salud y a la vida sexual el cosetimieto ha de ser expreso, y si los datos revela ideología, afiliació sidical, religió o creecias el cosetimieto ha de prestarse por escrito. El RGPD o estipula que el cosetimieto para el tratamieto de estos datos deba ser prestado por escrito, pero exige ua declaració o ua clara acció afirmativa del iteresado, si que se pueda eteder prestado de maera tácita. Resulta suficiete co que el cosetimieto se obtega ua sola vez, siempre que el tratamieto de los datos respoda a la iformació que al respecto se haya facilitado. El cosetimieto se puede recabar e el mismo impreso de recogida de los datos Bastaría co que el cosetimieto se preste al comiezo de cada curso, si que sea ecesario recabarlo uevamete e cada actividad de tratamieto siempre que respoda a la misma fialidad, por ejemplo, para los evetos que orgaice el cetro. 24 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

25 Puede los profesores recoger datos persoales directamete de los alumos? Si perjuicio de los datos persoales recabados por los cetros o las Admiistracioes educativas al matricularse los alumos, y que so facilitados a los profesores para el ejercicio de la fució docete, cuado éstos recabe otros datos de carácter persoal, como grabacioes de imágees o soido co la fialidad de evaluar sus coocimietos u otros datos relacioados co la realizació de dichos ejercicios, o los resultados de su evaluació, estaría legitimados para hacerlo, e el marco de las istruccioes, protocolos o régime itero que el cetro o la Admiistració educativa haya adoptado. Puede los profesores solicitar datos de los padres de los alumos? Los datos de los padres de los alumos se recaba por los cetros al estar legitimados para ello por la LOE, a cuya iformació podrá teer acceso los profesores si la ecesitase para el ejercicio de la docecia. No obstate, si se diera algua circustacia e la que los profesores ecesitara coocer los datos de los padres de los alumos, como podría ser ate situacioes de riesgo, y o dispusiera de ellos, estaría igualmete habilitados para recabarlos de los alumos. Puede u cetro educativo acceder al coteido de dispositivos electróicos de los alumos, como los sistemas de mesajería istatáea (WhatsApp) o redes sociales? Dada la iformació que se cotiee e los dispositivos co acceso a Iteret, así como la trazabilidad que se puede realizar de la avegació efectuada por los usuarios, el acceso al coteido de estos dispositivos de los alumos, icluyedo su clave, supoe u acceso a datos de carácter persoal que requiere el cosetimieto de los iteresados o de sus padres o tutores si se trata de meores de 14 años. No obstate, e situacioes e las que pudiera estar presete el iterés público, como cuado se poga e riesgo la itegridad de algú alumo (situacioes de ciberacoso, sextig, groomig o de violecia de géero) el cetro educativo podría, previa poderació del caso y coforme al protocolo que tega establecido, acceder a dichos coteidos si el cosetimieto de los iteresados. Puede los profesores crear grupos co aplicacioes de mesajería istatáea co los alumos? Co carácter geeral, las comuicacioes etre los profesores y los alumos debe teer lugar detro del ámbito de la fució educativa y o llevarse a cabo a través de aplicacioes de mesajería istatáea. Si fuera preciso establecer caales específicos de comuicació, debería emplearse los medios y herramietas establecidas por el cetro educativo y puestas a disposició de alumos y profesores (por ejemplo, áreas específicas e la itraet del cetro o uso de plataformas que cumpla los requisitos que se verá más adelate) o por medio del correo electróico. E situacioes cocretas, como la realizació de ua tarea o trabajo específico, por ejemplo co motivo de la participació e u cocurso escolar, o de refuerzo que fuera ecesarias, se podría crear co carácter excepcioal, siedo acosejable la participació e el grupo de u tercero, padre o madre de los alumos. 25 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

26 Puede los profesores crear grupos co aplicacioes de mesajería istatáea para que sea miembros los padres de los alumos de su clase? Como cuestió previa, y como sucede e el caso aterior, las comuicacioes etre los profesores y los padres de los alumos debe llevarse a cabo a través de los medios puestos a disposició de ambos por el cetro educativo. Excepcioalmete, y siempre que se cotase co el cosetimieto de los padres, sería posible la creació de estos grupos, de los que sólo formaría parte los padres que hubiera cosetido a ello. E todo caso, sería preferible que los grupos fuera gestioados por los propios padres (por ejemplo, a través de u delegado) y la icorporació al grupo o depediera directamete de los profesores. Como excepció, puede darse supuestos e que sea los propios padres quiees solicite la creació de u grupo co los profesores dadas las especiales circustacias del alumo (por ejemplo, requerir ecesidades especiales o como cosecuecia de su estado de salud). E estos casos sería posible la creació del grupo, si bie sería igualmete acosejable que su admiistració corriera a cargo de los propios padres y o de los profesores. Puede los profesores grabar imágees de los alumos y difudirlas a través de aplicacioes de mesajería istatáea a los padres? No como parte del ejercicio de la fució educativa de la que es resposable el cetro docete. No obstate, e aquellos casos e los que el iterés superior del meor estuviera comprometido, como e caso de accidetes o idisposicioes e ua excursió escolar, y co la fialidad de iformar y traquilizar a los padres, titulares de la patria potestad, se podría captar las imágees y eviárselas. Tambié podría ser posible e los grupos geerados a través de aplicacioes de mesajería istatáea relacioados co la específica situació del alumo, a los que se ha hecho referecia e la preguta aterior. 26 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

27 b. Tratamieto de los datos de los alumos b.i Publicació de datos E el ejercicio de la fució que tiee asigada los cetros educativos ha de dar publicidad a iformació persoal derivada de diversas accioes o actividades para las que les legitima la Ley. Puede u cetro dar publicidad a las listas de alumos admitidos? Sí. El cetro ecesita iformar sobre los alumos que ha sido admitidos e la medida e que la admisió se realiza mediate u procedimieto de cocurrecia competitiva e el que se valora y putúa determiadas circustacias. No obstate, la publicidad deberá realizarse de maera que o supoga u acceso idiscrimiado a la iformació, por ejemplo, publicado la relació de alumos admitidos e los tabloes de aucios e el iterior del cetro o e ua págia web de acceso restrigido a quiees haya solicitado la admisió. Esta publicació deberá recoger sólo el resultado fial del baremo, o resultados parciales que pueda respoder a datos o iformació sesible o poer de maifiesto la capacidad ecoómica de la familia. Esta iformació, o obstate, estará dispoible para los iteresados que ejercite su derecho a reclamar. Cuado ya o sea ecesarios estos listados, hay que retirarlos, si perjuicio de su coservació por el cetro a fi de ateder las reclamacioes que pudiera platearse. E caso de situacioes de violecia de géero, se puede opoer u alumo a la publicació de su admisió e los listados de u cetro educativo? E estos casos, la orma específica sobre medidas de protecció itegral de violecia de géero establece que e actuacioes y procedimietos relacioados co la violecia de géero se protegerá la itimidad de las víctimas; e especial, sus datos persoales, los de sus descedietes y los de cualquier otra persoa que esté bajo su guarda o custodia. E cosecuecia, los cetros educativos deberá proceder co especial cautela a tratar los datos de los meores que se vea afectados por estas situacioes. De coformidad co el artículo 6.4 de la LOPD, el alumo se puede opoer a la publicació de su admisió e u cetro educativo si se alega motivos fudametados y legítimos relativos a su cocreta situació persoal, como, por ejemplo, razoes de seguridad por ser víctima de violecia de géero o sufrir algú tipo de ameaza, etc. Si es u meor de 14 años, el derecho lo tiee que ejercer su tutor legal. El cetro educativo lo tiee que excluir del listado de admitidos que se publique. 27 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

28 Puede los cetros hacer públicas las relacioes de los beeficiarios de becas, subvecioes y otras ayudas públicas? La Ley de Trasparecia y Acceso a la Iformació Pública y Bue Gobiero determia la obligació de hacer pública, como míimo, la iformació relativa a las subvecioes y ayudas públicas cocedidas por las Admiistracioes públicas co idicació de su importe, objetivo o fialidad y los beeficiarios. Si perjuicio de la publicació por parte de la Admiistració covocate, los cetros escolares tambié podrá publicar esta iformació a efectos iformativos de los afectados. Cuado se trate de becas y ayudas fudadas e la situació de discapacidad de los beeficiarios será suficiete co publicar u listado co u úmero de idetificació de los beeficiarios, como el del DNI o u úmero idetificador que se hubiera facilitado a los iteresados co la solicitud. Así mismo, si fuera varios los requisitos a valorar, se podría dar el resultado total y o el parcial de cada uo de los requisitos. Si los criterios de las ayudas o se basa e circustacias que implique el coocimieto de categorías especiales de datos hay que valorar si, o obstate, podría afectar a la esfera ítima de la persoa, por ejemplo al poerse de maifiesto su capacidad ecoómica o su situació de riesgo de exclusió social. E estos casos habría que aalizar e cada caso si resulta ecesario hacer pública dicha iformació para garatizar la trasparecia de la actividad relacioada co el fucioamieto y cotrol de la actuació pública. Igualmete, cuado ya o sea ecesarios estos listados, habrá que retirarlos. Puede los cetros colocar e los tabloes de aucios o a las puertas de las aulas la relació de alumos por clases y/o actividades? Para la orgaizació de la actividad docete los cetros distribuye al iicio de cada curso a los alumos por clases, materias, actividades y servicios. Para dar a coocer a los alumos y a sus padres o tutores esta distribució, se puede colocar dichas relacioes e los tabloes de aucios o e las etradas de las aulas, durate u tiempo razoable para permitir el coocimieto por todos los iteresados. Si el cetro educativo utiliza ua plataforma para la gestió educativa, se recomieda que cada alumo, sus padres o tutores acceda a dicha iformació mediate el uso de ua idetificació de usuario y su correspodiete cotraseña. 28 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

29 Se puede publicar e el comedor del cetro el meú de los alumos? E el comedor de los cetros educativos se puede publicar los diferetes meús, ya que puede existir alumos co ecesidades alimetarias especiales, ya sea por razoes de salud o religió, pero si ecesidad de que exista u listado co ombre y apellidos de los alumos e relació al meú que le correspode a cada uo de ellos. Lógicamete, el cetro sí podrá dispoer de esos listados para el uso de los mismos por su servicio de comedor, pero si darles publicidad. Puede los profesores e prácticas utilizar datos persoales de los alumos para trabajos propios uiversitarios? E la medida que o se estaría tratado los datos para la educació de los alumos, sio para otra fialidad como la formació de los profesores, resulta acosejable que proceda a disociar los datos de maera que o se pueda idetificar a los alumos. Si o, tedrá que cotar co su cosetimieto o el de sus padres o tutores si so meores de 14 años. b.ii Calificacioes La fució educativa implica la evaluació cotiuada de los alumos, calificarlos y comuicarles las otas obteidas. La publicidad de esta comuicació, a diferecia de la educació uiversitaria, o está regulada, por lo que se suele albergar dudas sobre cómo proceder. Se puede hacer públicas las calificacioes escolares? Las calificacioes de los alumos se ha de facilitar a los propios alumos y a sus padres. E el caso de comuicar las calificacioes a través de plataformas educativas, éstas sólo deberá estar accesibles para los propios alumos, sus padres o tutores, si que pueda teer acceso a las mismas persoas distitas. No obstate, sí sería posible comuicar la situació del alumo e el etoro de su clase, por ejemplo, mostrado su calificació frete a la media de sus compañeros. 29 Puede los profesores facilitar las calificacioes oralmete e clase? Como se ha idicado, o existe ua regulació respecto de la forma de comuicar las calificacioes. Auque sería preferible que las calificacioes se otificase e la forma idicada e el puto aterior, sería posible euciarlas oralmete, evitado cometarios adicioales que pudiera afectar persoalmete al alumo. V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

30 Puede los padres solicitar las calificacioes de sus hijos mayores de edad? Si los alumos fuera mayores de edad (18 años) sus padres podrá solicitar el acceso a las calificacioes cuado éstos fuera los que corriera co los gastos educativos o de alimetos, pues e ese caso existiría u iterés legítimo de los padres, derivado del mateimieto de sus hijos mayores de edad, e coocer su evolució académica sobre el que o prevalecería los derechos y libertades de éstos. Más iformació e el siguiete iforme de la Agecia Española de Protecció de Datos sobre el iterés legítimo y alimetos del hijo. b.iii Acceso a la iformació de los alumos Los cetros educativos dispoe de datos de los alumos de muy diversa aturaleza: idetificativos, académicos, familiares, ecoómicos, sociales, de salud, a los que ha de acceder sólo las persoas que lo ecesite para ejercer la fució que tega ecomedada, ya sea del equipo directivo, del claustro de profesores o tutores, profesores, persoal de admiistració o de servicios. Puede los profesores acceder a los expedietes académicos de los alumos matriculados e el cetro? Co carácter geeral y salvo que existiese algua causa debidamete justificada, el profesor ha de teer acceso al expediete académico de los alumos a los que imparte la docecia, si que esté justificado acceder a los expedietes de los demás alumos del cetro. Y acceder tambié a la iformació de salud de los alumos? Los profesores ha de coocer y, por tato, acceder a la iformació de salud de sus alumos que sea ecesaria para la impartició de la docecia, o para garatizar el adecuado cuidado del alumo, por ejemplo, respecto a discapacidades auditivas, físicas o psíquicas, trastoros de ateció, TDAH o efermedades cróicas. Igualmete, ha de coocer la iformació relativa a las alergias, itoleracias alimetarias o la medicació que pudiera requerir para poder prestar el adecuado cuidado al alumo tato e el propio cetro como co ocasió de actividades fuera del cetro, como visitas, excursioes o covivecias guiadas por profesores. 30 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

31 Puede los padres solicitar los exámees de sus hijos para llevárselos a casa y repasarlos? Esta cuestió o depede de la ormativa de protecció de datos, pues o se trata de u derecho de acceso a los datos, sio de acceso a documetació que, e su caso, deberá ser resuelta por el cetro o la Admiistració educativa correspodiete co arreglo a su ormativa itera y demás legislació sectorial que sea de aplicació. Puede los padres acceder a la iformació sobre las ausecias escolares de sus hijos? Sí, los padres, como sujetos que osteta la patria potestad, etre cuyas obligacioes está la de educarlos y procurarles ua formació itegral, tiee acceso a la iformació sobre el absetismo escolar de sus hijos. Los cetros educativos puede facilitar dicha iformació a través de u mesaje eviado al úmero de móvil que los padres o tutores haya facilitado. Y si so mayores de edad? Al igual que ocurre co las calificacioes escolares, los padres podrá ser iformados del absetismo escolar de sus hijos mayores de edad cuado corriera co sus gastos educativos o de alimetació, al existir u iterés legítimo derivado de su mateimieto. Puede los padres solicitar a los equipos de orietació escolar iformació sobre la salud de sus hijos? Sí, cuado so meores de edad (18 años) e ejercicio de la patria potestad que se realiza siempre e su beeficio. El acceso a dicha iformació se rige por la legislació sectorial saitaria, e cocreto por la Ley 41/2002, de 14 de oviembre, básica reguladora de la autoomía del paciete y de derechos y obligacioes e materia de iformació y documetació clíica, o de la ormativa que sobre esta materia haya adoptado la correspodiete comuidad autóoma. Más iformació e este iforme de la Agecia Española de Protecció de Datos. Se puede facilitar la iformació escolar de los alumos a sus familiares? Sólo a los padres que ostete la patria potestad o a los tutores, uca a otros familiares, salvo que estuviere autorizados por aquellos y costase claramete esa autorizació. 31 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

32 Acceso a la iformació académica por padres separados E los supuestos de patria potestad compartida, co idepedecia de quié tega la custodia, ambos progeitores tiee derecho a recibir la misma iformació sobre las circustacias que cocurra e el proceso educativo del meor, lo que obliga a los cetros a garatizar la duplicidad de la iformació relativa al proceso educativo de sus hijos, salvo que se aporte ua resolució judicial que establezca la privació de la patria potestad a alguo de los progeitores o algú tipo de medida peal de prohibició de comuicació co el meor o su familia. E caso de coflicto etre los progeitores sobre el acceso a la iformació académica de sus hijos, deberá platearse ate el juez competete e materia de familia. b.iv Comuicacioes de los datos de los alumos La comuicació de los datos persoales de los alumos a persoas distitas de los iteresados costituye ua situació que o es iusual e la práctica de los cetros docetes. Por tato, hay que ver a quié y co qué legitimació se puede comuicar los datos persoales de cuyo tratamieto es resposable el cetro docete o la Admiistració educativa. Los cetros educativos recibe peticioes de otros cetros, istitucioes y orgaismos de otras admiistracioes -e icluso de etidades privadas- para que se les facilite iformació persoal de los alumos, por ejemplo de los Servicios Sociales, de las Fuerzas y Cuerpos de Seguridad o de la Admiistració saitaria. La comuicació de datos requiere, co carácter geeral, el cosetimieto de los iteresados, de los alumos o de sus padres o tutores si so meores de 14 años, salvo que esté legitimada por otras circustacias, como que permita u obligue a ella ua Ley, por ejemplo para solucioar ua urgecia médica, o se produzca e el marco de ua relació jurídica aceptada libremete por ambas partes, por ejemplo, la establecida etre los padres y el cetro al matricular a sus hijos. E estos supuestos se puede comuicar los datos si ecesidad de obteer el cosetimieto de los afectados. 32 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

33 Se puede facilitar los datos de los alumos a otros cetros educativos? E caso de traslado, la LOE ampara la comuicació de datos al uevo cetro educativo e el que se matricule el alumo si ecesidad de recabar su cosetimieto o el de sus padres o tutores. Y a cetros educativos situados e otros países para itercambios de alumos o estacias temporales? Sí, dado que el acceso a los datos del alumo sería ecesario para que el cetro e el que se vaya a desarrollar el itercambio pueda realizar adecuadamete su fució educativa, teiedo e cueta que la participació del alumo e el programa deberá haber cotado co la solicitud o autorizació de los titulares de la patria potestad. La comuicació respoderá al adecuado desarrollo de la relació jurídica solicitada por los propios represetates legales del alumo. La trasmisió deberá limitarse a los datos que resulte ecesarios para el adecuado desarrollo de esa acció educativa y para el cuidado del meor que el cetro de destio pudiera requerir. Cuado el cetro destiatario de los datos se ecuetre e u país fuera del Espacio Ecoómico Europeo, la comuicació costituye ua trasferecia iteracioal de datos. Y a la Admiistració educativa? Sí, los cetros educativos, públicos, cocertados y privados, comuicará los datos persoales de los alumos ecesarios para el ejercicio de las competecias que tiee atribuidas las Admiistracioes educativas como, por ejemplo, la expedició de títulos. Se puede comuicar los datos a las Fuerzas y Cuerpos de Seguridad? Las comuicacioes de datos a las Fuerzas y Cuerpos de Seguridad so obligatorias siempre que sea ecesarios para la preveció de u peligro real para la seguridad pública o para la represió de ifraccioes peales. E todo caso, la petició que realice las Fuerzas y Cuerpos de Seguridad, e el ejercicio de sus competecias, debe ser cocreta, específica y motivada, de maera que o haya ua comuicació de datos idiscrimiada. Auque se cumpla los requisitos para la comuicació de datos a las Fuerzas y Cuerpos de Seguridad, es acosejable que el cetro documete la comuicació de los datos. 33 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

34 Se puede comuicar los datos a los Servicios Sociales? Sí, siempre que sea para la determiació o tratamieto de situacioes de riesgo o desamparo competecia de los Servicios Sociales. La comuicació estaría amparada e el iterés superior del meor, recogido e la Ley Orgáica de Protecció Jurídica del Meor. E estos supuestos o se ecesita el cosetimieto de los iteresados. E qué supuestos está los cetros educativos obligados a comuicar datos de sus alumos a las autoridades o sus agetes? Cuado se tega coocimieto de ua posible situació de desprotecció de u meor: de maltrato, de riesgo o de posible desamparo, se debe comuicar a la autoridad o a sus agetes más próximos. Tambié cuado se tega coocimieto de la falta de asistecia de u meor al cetro de forma habitual y si justificació, durate el periodo lectivo, deberá trasladarse a la autoridad competete. E estos casos o ha de mediar solicitud de igua autoridad o istitució. Se puede comuicar los datos a los cetros saitarios? Se puede facilitar los datos si cosetimieto de los iteresados a los cetros saitarios cuado el motivo sea la preveció o el diagóstico médico, la prestació de asistecia saitaria o tratamietos médicos, o la gestió de servicios saitarios, siempre que se realice por profesioales saitarios sujetos al secreto profesioal o por otras persoas sujetas a la misma obligació. Por ejemplo, cuado sea precisa la asistecia saitaria a u alumo que se haya accidetado, idispuesto o itoxicado co la alimetació. Y el cetro educativo podrá solicitar iformació sobre la asistecia saitaria prestada? Sí, e caso de que fuera ecesaria para aboar al cetro educativo la asistecia saitaria e los supuestos e los que la misma se ecotrase cubierta por el seguro de resposabilidad civil que hubiera suscrito el cetro para respoder de las lesioes causadas como cosecuecia del ormal desarrollo de la actividad escolar. 34 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

35 Se puede comuicar los datos a los Servicios Saitarios autoómicos, o a u ayutamieto para campañas de vacuació o programas de salud escolar (bucodetal, alimetaria, etc.)? E estos casos, los cetros suele actuar como itermediarios etre los servicios de salud y las familias, por lo que habrá de trasladar a las familias la iformació de la cual dispoga para que sea ellas las que preste el cosetimieto o facilite los datos a dichos servicios. No obstate, se puede facilitar los datos de los alumos a los servicios de salud que los requiera si ecesidad de dispoer del cosetimieto de los iteresados e respuesta a ua petició de las autoridades saitarias cuado sea estrictamete ecesarios para garatizar la salud pública o si tiee por fialidad la realizació de actuacioes de salud pública que tega ecomedadas. Por ejemplo, ate u caso de ifecció e u cetro educativo, para la realizació de estudios que permita descartar la presecia de la efermedad e el etoro del cetro educativo. Puede cosultar el siguiete iforme de la Agecia Española de Protecció de Datos sobre Cesió datos de alumos a Saidad para estudio epidemiológico. Se puede comuicar los datos a istitucioes, etidades o empresas que va a ser visitadas por los alumos e ua actividad extraescolar, por ejemplo, ua exposició, u museo, ua fábrica o u club deportivo? Sí, pero se debe cotar co el cosetimieto previo e iequívoco de los iteresados o de sus padres o tutores, cuado los datos sea comuicados para las fialidades propias del teatro, museo, exposició o de la fábrica, por ejemplo, el cotrol de etrada, de aforos o para sus programacioes futuras. La iformació que sobre estos evetos se facilita a los padres para su autorizació debe icluir la relativa a la comuicació de datos a estas etidades, así como la propia autorizació. La comuicació, e caso de ser autorizada, implicaría la posibilidad del tratamieto de los datos exclusivamete para los fies que se ha idicado, al ser ésta ecesaria para que el alumo pueda participar e esa actividad. 35 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

36 Se puede comuicar los datos de los alumos y de sus padres y madres a las AMPA? No si el previo cosetimieto de los iteresados. Las AMPA so resposables del tratamieto de los datos de carácter persoal que haya recabado, debiedo cumplir co la ormativa de protecció de datos e su tratamieto. No obstate, e el caso de que las AMPA fuera cotratadas para prestar u servicio al cetro educativo para el que tuviera que tratar los datos de los alumos y de sus padres sí tedría acceso a los datos pero e codició de ecargadas del tratamieto. 36 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

37 c. Tratamieto de las imágees de los alumos E l desarrollo de las tecologías de la iformació y comuicació ha facilitado la captació, grabació y reproducció de imágees, proporcioado medios que prácticamete ha covertido e u fotógrafo o realizador de vídeos a cualquier persoa que dispoga de u teléfoo móvil. Co ocasió de la celebració de actos escolares o de evetos e cetros educativos e los que los alumos y los profesores so los protagoistas, tato por los familiares como por el propio cetro se toma fotografías y graba vídeos e los que se recoge sus imágees. Estos hechos, comues e los evetos escolares, da lugar a que se platee muchas cuestioes sobre quié y cómo se puede captar las imágees, qué requisitos se ha de cumplir, co qué fialidad y a quié se puede comuicar. Segú quié vaya a grabar las imágees y la fialidad para la que se grabe será ecesario observar uos determiados requisitos. Si la grabació de las imágees se produjera por el cetro escolar co fies educativos, como trabajos escolares o evaluacioes, el cetro o la Admiistració educativa estaría legitimados para dicho tratamieto si ecesidad del cosetimieto de los alumos o de sus padres o tutores. Cuado la grabació de las imágees o se correspoda co dicha fució educativa, sio que se trate de imágees de acotecimietos o evetos que se graba habitualmete co fies de difusió e la revista escolar o e la web del cetro, se ecesitará cotar co el cosetimieto de los iteresados, a quiees se habrá teido que iformar co aterioridad de la fialidad de la grabació, e especial de si las imágees va a estar accesibles de maera idiscrimiada o limitada a la comuidad escolar. E caso de coflicto etre los progeitores sobre la grabació de las imágees de sus hijos, deberá platearse ate el juez competete e materia de familia para su resolució. Se recomieda que la publicació e la web de los cetros tega lugar e u espacio privado, al que se acceda mediate idetificació y cotraseña. Por otra parte, es muy frecuete que los padres y familiares de alumos tome fotografías y grabe vídeos e evetos festivos, comemorativos, deportivos o de otra ídole, e los que participa los alumos. E estos casos la grabació de las imágees suele correspoder a ua actividad exclusivamete persoal y doméstica, es decir, aquellas que se iscribe e el marco de la vida privada, familiar y de amistad, que está excluidas de la aplicació de la ormativa de protecció de datos. E otras ocasioes o es el cetro escolar el que toma las fotografías o vídeos de los alumos i tampoco sus familiares, sio que so terceros, ya sea la empresa que presta u determiado servicio, por ejemplo, la celebració de actividades extraescolares o u club deportivo. 37 De uevo hay que distiguir: si la grabació de imágees se realiza por ecargo del cetro educativo, e cuyo caso éste deberá obteer el cosetimieto de los alumos o de sus padres o tutores, o si es el tercero quie toma la fotografías o graba los vídeos para sus propias fialidades, que tedrá que cotar co el previo cosetimieto de los iteresados, ya lo recabe él mismo o a través del cetro, e cuyo caso se deberá especificar que el tercero es el resposable del tratamieto. V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

38 c.i Grabació de imágees de actividades docetes Puede los cetros educativos captar imágees de los alumos durate las actividades escolares? Cabría distiguir etre la toma de imágees como parte de la fució educativa, e cuyo caso los cetros estaría legitimados para ello, de las grabacioes que o respodería a dicha fució, por ejemplo, la difusió del cetro y de sus actividades, para lo que se deberá dispoer del cosetimieto de los iteresados o de sus padres o tutores. Tambié sería posible la toma de imágees de los alumos e determiados evetos desarrollados e el etoro escolar para la úica fialidad de que los padres pudiera teer acceso a ellas. Este acceso a las imágees debería siempre llevarse a cabo e u etoro seguro que exigiera la previa idetificació y auteticació de los alumos, padres o tutores (por ejemplo, e u área restrigida de la itraet del cetro), limitádose a las imágees correspodietes a evetos e los que el alumo cocreto hubiera participado. E todo caso, sería preciso recordar a quiees accede a las imágees que o puede, a su vez, proceder a su divulgació de forma abierta. Puede u profesor grabar imágees de los alumos para ua actividad escolar? Los profesores, e el desarrollo de la programació y eseñaza de las áreas, materias y módulos que tega ecomedados, puede dispoer la realizació de ejercicios que implique la grabació de imágees, ormalmete de los propios alumos, que sólo deberá estar accesibles para los alumos ivolucrados e dicha actividad, sus padres o tutores y el profesor correspodiete. Es decir, e igú caso el mero hecho de realizar la grabació supoe que la misma se pueda difudir de forma abierta e Iteret y que se pueda acceder de maera idiscrimiada. E estos casos el resposable del tratamieto es el propio cetro o la Admiistració educativa. 38 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

39 c.ii Grabació y difusió de imágees e evetos orgaizados y celebrados e los cetros educativos Puede los familiares de los alumos que participa e u eveto abierto a las familias grabar imágees del eveto? Sí, siempre y cuado se trate de imágees captadas exclusivamete para su uso persoal y doméstico, pues e ese caso esta actividad está excluida de la aplicació de la ormativa de protecció de datos. Si las imágees captadas por los familiares se difudiera fuera del ámbito privado, familiar y de amistad, por ejemplo mediate su publicació e Iteret accesible e abierto, los familiares asumiría la resposabilidad por la comuicació de las imágees a terceros que o podría realizar salvo que hubiera obteido el cosetimieto previo de los iteresados. Sería coveiete que el cetro iformase a los familiares de su resposabilidad e caso de que las imágees fuera divulgadas e los etoros abiertos que acaba de señalarse. Si uos padres se iega a que se tome imágees de su hijo e u eveto e el cetro educativo, se ha de cacelar dicho eveto? No. Se ha de iformar a los padres que la toma de fotografías y vídeos es posible como actividad familiar, exclusivamete para uso persoal y doméstico, que está excluida de la aplicació de la ormativa de protecció de datos. Y prohibir la toma de imágees? No, por los mismos motivos. Es recomedable que el cetro advierta a los asistetes a los evetos de que se puede grabar imágees de los alumos para su utilizació exclusivamete persoal, familiar y de amistad. No se debe publicar este tipo de grabacioes e Iteret e abierto, a o ser que se cuete co el cosetimieto de todos aquellos que aparece e las imágees, de sus padres o tutores si so meores de 14 años. 39 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

40 c.iii Grabació de imágees de actividades desarrolladas fuera del cetro escolar La grabació de imágees fuera del recito escolar por los cetros requiere el cosetimieto de los iteresados, o de sus padres o tutores, siempre que o se realice e ejercicio de la fució educativa. Si la grabació se realiza por terceros, por ejemplo, por los resposables de la empresa, museo, exposició o club deportivo que se esté visitado, o e el que se desarrolle ua actividad deportiva, será obligació de estos terceros dispoer del cosetimieto de los iteresados que habrá podido recabar a través del cetro. d. Tratamieto de datos e Iteret Cada vez más los cetros educativos recurre a las solucioes que facilita las tecologías de la iformació y comuicació, e particular al uso de servicios de cloud computig o de computació e ube, tato para la gestió del proceso educativo como para el apredizaje. Esta circustacia motivó la Ispecció sectorial sobre servicios de cloud computig e el sector educativo, publicada e 2015 por la Agecia Española de Protecció de Datos. d.i Utilizació de plataformas educativas Las implicacioes que e materia de protecció de datos platea el uso de plataformas educativas, tato de gestió como de apredizaje o etoros virtuales de apredizaje, se recoge e el citado Iforme de la Ispecció sectorial sobre el uso de servicios de cloud computig e el sector educativo, que icluye las recomedacioes a aplicar por los cetros o las Admiistracioes educativas y que se acoseja cosultar. No obstate, se cosidera oportuo icorporar e esta Guía aquellas cuestioes clave que platea el uso de estas plataformas. 40 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

41 Quié es el resposable del tratamieto de los datos persoales de los alumos e las plataformas educativas? Los cetros o las Admiistracioes educativas, que so los que suscribe el cotrato de prestació de servicios co las empresas titulares de las plataformas educativas, que actúa como ecargadas del tratamieto. Qué legitimació ampara a los cetros o las Admiistracioes educativas para el tratamieto de datos e las plataformas educativas? Como regla geeral, el tratamieto de los datos por parte de los cetros educativos para el desarrollo de su actividad se ecuetra amparado por las previsioes de la legislació estatal y autoómica y las cosiguietes relacioes jurídicas que se deriva de ella. No obstate, alguos supuestos (como la difusió pública e Iteret de imágees de los alumos) exigiría el cosetimieto de los afectados o sus represetates legales. Por ejemplo, las empresas ecargadas del tratamieto sólo podrá remitir comuicacioes comerciales dirigidas a los usuarios de los cetros educativos cuado haya obteido su cosetimieto que deberá prestarse de maera expresa si se realiza a través de medios de comuicació electróica, si que esta autorizació pueda ser otorgada por el cetro. Qué debe hacer los cetros educativos si presta el servicio de adquisició de libros digitales de forma cetralizada? Cuado la adquisició implique la remisió de la relació de los alumos co datos persoales a las editoriales, se deberá iformar de dicha comuicació de datos y de las fialidades de la cesió a los alumos y/o a los padres o tutores. Puede las editoriales realizar el tratamieto de los datos persoales? Las editoriales carece de legitimació para el tratamieto de los datos persoales para fies distitos de los previstos e la licecia del servicio (resultado de pruebas, perfiles, publicidad, etc.), por lo que tedrá que recabar el cosetimieto específico. 41 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

42 Puede los cetros permitir la utilizació de herramietas de almaceamieto e ube distitas de las plataformas educativas? Sólo si reúe las garatías previstas e la ormativa de protecció de datos. E tal caso deberá establecer uas ormas que garatice el adecuado tratamieto de los datos persoales. La utilizació de aplicacioes por los profesores e dispositivos persoales (tableta, móvil, etc.) debe garatizar la política de privacidad defiida por el cetro o la Admiistració educativa co las garatías establecidas e la ormativa de protecció de datos. E particular, es de especial importacia que el uso de esas aplicacioes o implique ua trasmisió de los datos de los alumos al prestador del servicio cotratado para que los utilice para sus propios fies o los almacee de forma permaete, icluso co posterioridad a la termiació del cotrato o cuado el alumo ya o curse estudios e el cetro educativo. Tampoco debería implicar la reucia del cetro educativo al acceso a los datos o a su supresió. Debe los cetros o las Admiistracioes educativas iteresarse por la ubicació de los datos de los alumos e estos recursos? Deberá recabar iformació sobre la ubicació de los datos. Si los datos se ecuetra ubicados e Estados que forma parte del Espacio Ecoómico Europeo (Estados miembros de la Uió Europea más Isladia, Liechtestei y Noruega), o existirá ua trasferecia iteracioal de datos, siedo suficiete la firma del cotrato co el ecargado del tratamieto. Si se ubica e Estados o territorios que la Comisió Europea ha declarado que ofrece u ivel adecuado de protecció o e empresas adheridas al esquema del Escudo de Privacidad e Estados Uidos deberá otificarse a la Agecia Española de Protecció de Datos la trasferecia iteracioal de datos que supoe. Cuado los datos se ubique e otros estados se deberá solicitar a la Agecia Española de Protecció de Datos autorizació para su trasferecia iteracioal co carácter previo, para lo que se habrá de presetar las garatías suficietes que podrá derivarse, e particular, de cláusulas cotractuales apropiadas. El Reglameto Geeral de Protecció de Datos (RGPD), aplicable el 25 de mayo de 2018, suprime ambas obligacioes siempre que los destiatarios de los datos esté ubicados e u país o territorio cosiderado como de ivel adecuado de protecció o las garatías se establezca e cláusulas cotractuales adoptadas por la Comisió Europea o por la Agecia Española de Protecció de Datos. 42 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

43 Qué medidas deberá adoptar los cetros o las Admiistracioes educativas e relació co la seguridad de los datos? Desplegar la diligecia debida para que el ecargado del tratamieto y, e su caso, los subecargados garatice el cumplimieto de las medidas de seguridad exigibles. Especificar por cotrato la aturaleza de los datos para poder defiir e implemetar las medidas de seguridad adecuadas que debe trasmitirse a lo largo de todos los cotratos establecidos co los subecargados. Los cotratos suscritos debe especificar claramete las resposabilidades de todos los iterviietes e la prestació de los servicios de ube, tato de los cetros o Admiistracioes educativas como de las etidades que actúa como ecargadas y subecargadas del tratamieto. Por ejemplo, se debe determiar las resposabilidades sobre las medidas de seguridad que debe implemetarse. Establecer procedimietos de colaboració etre el resposable y los ecargados y subecargados de tratamieto para la implatació y mateimieto de las medidas de seguridad, ya que la resposabilidad puede ser, e muchos casos, compartida, por lo que debe delimitarse cotractualmete las resposabilidades de cada uo de ellos. Los cetros educativos debe poder coocer el procedimieto establecido para la recuperació de los datos e caso de posibles cotigecias que pueda producirse tato e las etidades ecargadas del tratamieto como e las subecargadas. El cetro educativo debe adoptar las medidas ecesarias para que todos los usuarios del sistema sea coocedores de las políticas del cetro e materia de seguridad. A la fializació del cotrato de prestació de servicios cómo debe proceder los cetros educativos? Los cetros educativos debe teer la opció de exigir al ecargado del tratamieto la portabilidad de la iformació a sus propios sistemas, o a otro uevo ecargado de tratamieto, co garatías de la itegridad de la iformació. A tal efecto el resposable debe obteer iformació respecto a la maera de recuperar los datos, de forma que quede garatizada cotractualmete la portabilidad. Al fializar la cotratació, el ecargado del tratamieto tiee que garatizar al resposable del fichero el borrado seguro de los datos persoales dode se ecuetre alojados, de tal forma que se impida su reutilizació. Además, deberá asegurar el bloqueo o borrado de todos los usuarios para imposibilitar el acceso a la plataforma educativa. Se cosidera ua buea práctica que a la fializació del cotrato se asegure la destrucció o devolució de los datos co u certificado de destrucció o co u acuse de recibo. 43 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

44 d.ii Publicació de datos e la web de los cetros Habitualmete las webs de los cetros educativos cotiee iformació referida a sus características, su orgaizació, las materias que imparte, las actividades que desarrolla, los servicios que ofrece, las relacioes co otros cetros, para lo que e ocasioes icluye iformació de carácter persoal sobre la direcció, el profesorado y los alumos. Se puede publicar e la web del cetro los datos de los profesores, tutores y otros resposables del cetro? Hay que distiguir dos supuestos: Si se trata de ua web e abierto, sería ecesario cotar co su cosetimieto previo dado que se trata de ua comuicació de datos a los que puede acceder cualquier persoa de maera idiscrimiada y o resulta ecesaria para el ejercicio de la fució educativa ecomedada a los cetros. Si la iformació está restrigida a los alumos del cetro y a sus padres o tutores se puede publicar, si bie se debería iformar a los docetes y, e caso de icluir la direcció de correo electróico para cotacto, que sea la del cetro y o las persoales que tega los profesores e el ámbito educativo. Puede publicarse e la web del cetro iformació relativa a los alumos, como fotografías o vídeos? Sí, siempre que se dispoga del cosetimieto de los alumos o de sus padres o tutores. Tambié podría llevarse a cabo de maera que o se pudiera idetificar a los alumos, por ejemplo, pixelado las imágees. Tambié sería posible su publicació cuado respoda a determiados evetos desarrollados e el etoro escolar co la úica fialidad de que los padres pudiera teer acceso a ella. Este acceso debería llevarse a cabo siempre e u etoro seguro que exigiera la previa idetificació y auteticació de los alumos, padres o tutores (por ejemplo, e u área restrigida de la itraet del cetro), limitádose a la iformació correspodiete a evetos e los que el alumo cocreto hubiera participado. E todo caso, sería preciso recordar a quiees accede a la iformació que o puede, a su vez, proceder a su divulgació de forma abierta. Tambié sería posible la toma de imágees de los alumos para la úica fialidad de que los padres pudiera teer acceso a las mismas siempre que se lleve a cabo e u etoro seguro que exigiera la previa idetificació y auteticació de los alumos, padres o tutores a las imágees (por ejemplo, e u área segura de la itraet del cetro), limitádose el acceso por aquellos a las correspodietes a los evetos e que el alumo cocreto hubiera participado. E todo caso, sería preciso recordar a quiees accede a las imágees que o puede proceder a su divulgació. 44 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

45 Puede publicarse datos persoales de los alumos e el blog del cetro educativo? Como e el caso de la web, si el coteido del blog e abierto del cetro educativo icluyera datos que permitiera la idetificació de los alumos, se requeriría su cosetimieto o el de sus padres o tutores. E estos casos se acoseja disociar o aoimizar los datos de los alumos, de maera que o se les pueda idetificar. Y u profesor puede publicar e su blog las actas del departameto o los exámees de los alumos o sus fotografías? El blog de u profesor es u medio de iformació y comuicació al marge de la fució docete que desarrolla e los cetros educativos. De su coteido será resposable el profesor que deberá observar la ormativa de protecció de datos e cuato que icluya iformació de carácter persoal. Por tato, salvo que se cotase co el cosetimieto de los afectados, o de sus padres o tutores, o se podría publicar e el blog de u profesor datos de carácter persoal que permita idetificar a los alumos. Al igual que co los blogs de los cetros educativos, se podría publicar la iformació previa disociació o aoimizació de los datos de los alumos de maera que o se les pudiese llegar a idetificar. d.iii Publicació de datos e redes sociales La publicació de datos persoales e redes sociales por parte de los cetros educativos requiere cotar co el cosetimieto iequívoco de los iteresados, a los que habrá que iformar previamete de maera clara de los datos que se va a publicar, e qué redes sociales, co qué fialidad, quié puede acceder a los datos, así como de la posibilidad de ejercitar sus derechos de acceso, rectificació, cacelació y oposició. El RGPD icluye la obligació de iformar sobre el plazo durate el que se coservará las imágees o, si o fuera posible, de los criterios para determiarlo. Hay que teer u especial cuidado al publicar fotos de los alumos e redes sociales. 45 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

46 e. Otros supuestos e.i Certificados del Registro Cetral de delicuetes sexuales Para el acceso y ejercicio a las profesioes, oficios y actividades que implique cotacto habitual co meores es requisito o haber sido codeado por setecia firme por algú delito cotra la libertad e idemidad sexual, que icluye la agresió y abuso sexual, acoso sexual, exhibicioismo y provocació sexual, prostitució y explotació sexual y corrupció de meores, así como por trata de seres humaos. A tal efecto, quie preteda el acceso a tales profesioes, oficios o actividades deberá acreditar esta circustacia mediate la aportació de ua certificació egativa del Registro Cetral de delicuetes sexuales. Ua vez iiciada la relació o aportado el certificado egativo o sería precisa ua ueva aportació o reovació periódica del mismo, a pesar de que dicho certificado pueda datar de fecha muy aterior. E ese caso, dada la existecia y permaecia de la relació, podrá cosiderarse que los datos objeto de coservació y tratamieto matiee su certeza a meos que se tega coocimieto de la cocurrecia de uevas circustacias que exija su actualizació, lo que podrá implicar la exigecia al empleado de u uevo certificado del Registro Cetral de delicuetes sexuales para comprobar la exactitud de los datos. f. Videovigilacia L a istalació de sistemas de videovigilacia co la fialidad de garatizar la seguridad de persoas e istalacioes e los cetros educativos es ua realidad e u importate úmero de cetros y cuya tedecia va e aumeto. La implatació de cámaras de videovigilacia, que respoda al iterés legítimo de los cetros y de las Admiistracioes educativas e mateer la seguridad e itegridad de persoas y las istalacioes, ha de observar la ormativa de protecció de datos persoales, e la medida que implica el tratamieto de los datos de alumos, profesores, familiares, etc. Dado el carácter itrusivo de estos sistemas e la itimidad de las persoas, su istalació debe respoder a los criterios de ecesidad, idoeidad para los fies pretedidos, que o se pueda coseguir co ua medida meos ivasiva de la itimidad, y proporcioalidad, que ofrezca más beeficios que perjuicios. Por ejemplo, cuado el motivo para la istalació de estos sistemas sea el de evitar daños materiales, robos y hurtos que se puede llegar a producir se podría limitar su fucioamieto a las horas o lectivas, de maera que se miimizara el impacto e la privacidad de las persoas. E este setido, y e relació co dicho cumplimieto, la AEPD ha publicado como herramieta de ayuda la Guía de tratamieto de imágees para diversas fialidades, dode se puede cosultar las medidas que debe implemetarse e los sistemas de videovigilacia para ajustarse a la ormativa de protecció de datos. 46 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

47 Se puede istalar cámaras de videovigilacia e todas las istalacioes del colegio? No e todas las istalacioes. Dada la itromisió que supoe e la itimidad de las persoas, tato de los alumos como de profesores y demás persoas cuya image puede ser captada por las cámaras, los sistemas de videovigilacia o podrá istalarse e aseos, vestuarios o zoas de descaso de persoal docete o de otros trabajadores. Se puede istalar cámaras de videovigilacia e las aulas alegado motivos de coflictividad? Resultaría desproporcioado, pues durate las clases ya está presete u profesor. Además de ua itromisió e la privacidad de los alumos, podría supoer u cotrol laboral desproporcioado de los profesores. Cabría la posibilidad de que, fuera del horario lectivo y e los supuestos de desocupació de las aulas, se pudiera activar mecaismos de videovigilacia co la fialidad de protecció a los alumos y de evitar daños e las istalacioes y materiales. Se puede istalar cámaras de videovigilacia e los patios de recreo y comedores? Sí, cuado la istalació respoda a la protecció del iterés superior del meor, toda vez que, si perjuicio de otras actuacioes como el cotrol presecial por adultos, se trata de espacios e los que se puede producir accioes que poga e riesgo su itegridad física, psicológica y emocioal. Más iformació e el iforme de la Agecia Española de Protecció de Datos. Se debe iformar de la existecia de u sistema de videovigilacia? Sí, colocado u distitivo e lugar suficietemete visible e aquellos espacios dode se haya istalado las cámaras. Tambié se deberá dispoer de ua cláusula iformativa que icluya los extremos exigidos por la ormativa. 47 V TRATAMIENTO DE DATOS POR LOS CENTROS EDUCATIVOS

48 VI TRATAMiENTO DE DATOS POR LAS AMPA Asociacioes de Madres y Padres de Alumos L as asociacioes de madres y padres de alumos (AMPA) so etidades co persoalidad jurídica propia que forma parte de la comuidad educativa y desempeña u papel sigificativo e la vida educativa al participar e el Cosejo Escolar de los cetros públicos. Para el ejercicio de sus fucioes, las AMPA suele tratar datos de carácter persoal, idetificativos de los padres de los alumos y de éstos, así como otros tipos de datos como puede ser los ecoómicos, profesioales, sociales, etc. Como etidades co persoalidad jurídica propia que decide sobre la fialidad, uso y coteido de los datos persoales a recabar de los asociados y de sus hijos, las AMPA so resposables de su tratamieto, por lo que debe cumplir co las obligacioes de la ormativa de protecció de datos. Necesita las AMPA obteer el cosetimieto para recabar y tratar los datos de sus asociados y de sus hijos alumos? Depede de que los padres sea o o asociados al AMPA. E el primero de los supuestos, el tratamieto estará amparado por la relació que vicula al AMPA co sus asociados, por lo que o será ecesario el cosetimieto de los progeitores, a los que e todo caso deberá iformárseles acerca del tratamieto. Si o fuera asociados, debería obteerse su cosetimieto. Puede los cetros educativos facilitar a las AMPA la iformació persoal de los alumos y de sus familias para poder dirigirse a ellos? Si o so asociados, solamete si los cetros dispoe del cosetimieto previo de los alumos o de sus padres o tutores si so meores de 14 años. Los cetros podrá recabar el cosetimieto de los iteresados a estos efectos, a los que habrá que iformar de la fialidad de la comuicació de datos. 48 VI TRATAMIENTO DE DATOS POR LAS AMPA

49 Puede las AMPA tratar los datos de los alumos por cueta del cetro educativo? Sólo e aquellos casos e los que las AMPA prestase u servicio al cetro que requiera el tratamieto de dichos datos, por ejemplo, que se hiciera cargo del servicio de comedor o de trasporte escolar por cueta del cetro. E estos casos el AMPA actúa como u ecargado del tratamieto y requiere la existecia de u cotrato que icluya las garatías adecuadas. Para obteer más iformació al respecto se puede cosultar la preguta Quiées so los ecargados del tratamieto? icluida e esta guía e el apartado III.g). Puede las AMPA publicar e su web los datos de los alumos aputados a u viaje fi de curso? Sólo si cueta co su cosetimieto, o el de sus padres o tutores si so meores de 14 años. Y las imágees de los alumos o de sus familiares e su web o e las redes sociales? Igualmete, sólo e el caso de que dispoga del cosetimieto de los iteresados: alumos y/o familiares, previa iformació sobre la fialidad de la publicació. 49 VI TRATAMIENTO DE DATOS POR LAS AMPA

50 VII DERECHOS EN MATERiA DE PROTECCiÓN DE DATOS ara la efectiva protecció de los datos de carácter persoal, la ormativa otorga a sus titulares uos derechos que les permite ejercer el cotrol sobre sus datos, sobre su iformació persoal, y que el Presposable del tratamieto tiee la obligació de facilitar. Cuáles so estos derechos? Estos derechos so los de acceso, rectificació, cacelació y oposició, coocidos por su acróimo ARCO, y se puede describir del siguiete modo: El derecho de ACCESO permite a los titulares de los datos persoales coocer y obteer gratuitamete iformació sobre si sus datos de carácter persoal está siedo objeto de tratamieto, co qué fialidad, qué tipo de datos tiee el resposable del tratamieto, su orige, si o procede de los iteresados, y los destiatarios de los datos. El derecho de RECTIFICACIÓN permite corregir errores, modificar los datos que resulte ser iexactos o icompletos y garatizar la certeza de la iformació objeto de tratamieto. El derecho de CANCELACIÓN permite que se suprima los datos que resulte ser iadecuados o excesivos. La revocació del cosetimieto da lugar a la cacelació de los datos cuado su tratamieto esté basado e él. El derecho de OPOSICIÓN es el derecho del iteresado a que, por motivos relacioados co su situació persoal, o se lleve a cabo el tratamieto de sus datos de carácter persoal o se cese e el mismo. Quiées puede ejercitar estos derechos? Estos derechos tiee carácter persoalísimo, lo que sigifica que sólo puede ser ejercidos por sus titulares o sus represetates legales. E el caso de los meores de 14 años, los padres, cuado ostete la patria potestad, o los tutores podrá ejercitarlos e su ombre. Si so mayores de esa edad lo podrá ejercitar los propios alumos o sus represetates legales, que igualmete puede ser sus padres. Si se trata de los datos de los padres será éstos los legitimados para ejercitarlos. 50 VII DERECHOS EN MATERIA DE PROTECCIÓN DE DATOS

51 Ate quié se ejercita los derechos ARCO? Se ejercita ate los resposables del tratamieto: los cetros educativos o las Admiistracioes educativas. Cuátas veces se puede solicitar los derechos ARCO? Siempre que los iteresados cosidere que sus datos se debe rectificar, cacelar u opoerse al tratamieto. No obstate, el derecho de acceso sólo se podrá ejercitar ua vez cada doce meses, salvo que se acreditase u iterés legítimo, e cuyo caso, se podrá solicitar co aterioridad a cumplirse dicho plazo. Hay obligació de cotestar a los iteresados? Sí, siempre, auque o se dispoga de los datos sobre los que verse el derecho ejercitado, e cuyo caso habrá que respoder e dicho setido, iformádoles del derecho a presetar, e su caso, ua reclamació ate la Agecia Española de Protecció de Datos o la autoridad autoómica correspodiete. a. Derecho de acceso Qué obligació tiee los cetros o las Admiistracioes educativas de respoder a ua solicitud de derecho de acceso? Los resposables del tratamieto, e el plazo de u mes, ha de facilitar a los iteresados la iformació sobre sus datos persoales o, e su caso, respuesta de que o dispoe de ellos. Esta obligació se puede cumplir de varias maeras: visualizació e patalla, escrito, copia o fotocopia, correo electróico o cualquier otro sistema de comuicacioes electróico o que resulte adecuado. Si la solicitud de acceso se formula por medios electróicos, se facilitará e u formato electróico de uso comú, salvo que se hubiera solicitado recibirla de otro modo. 51 VII DERECHOS EN MATERIA DE PROTECCIÓN DE DATOS

52 El cumplimieto del derecho de acceso obliga a facilitar copia del expediete escolar? El derecho de acceso a los datos persoales es idepediete del derecho de acceso al expediete, a la iformació y documetació, que se rige por otra ormativa. Coforme a la ormativa de protecció de datos, o hay obligació de facilitar copia del expediete escolar, si perjuicio del acceso a la iformació e el marco de la legislació sectorial. El RGPD establece que el resposable del tratamieto facilitará ua copia de los datos persoales de los iteresados que, e igú caso, afectará egativamete a los derechos y libertades de otros. Y si e ese expediete hay datos de salud? La documetació relativa a los datos de salud recibe el tratamieto de iformació clíica cuya copia hay que facilitar a los iteresados, e aplicació de la Ley 41/2002, de 14 de oviembre, básica reguladora de la autoomía del paciete y de derechos y obligacioes e materia de iformació y documetació clíica y de las leyes autoómicas. Se puede cobrar por facilitar el derecho de acceso? No, la iformació que se facilite tiee que ser gratuita. No obstate, si el cetro o la Admiistració educativa ofreciera u procedimieto para hacer efectivo el derecho de acceso y el afectado exigiese que el mismo se materializase a través de u procedimieto que implique u coste desproporcioado, surtiedo el mismo efecto y garatizado la misma seguridad el procedimieto ofrecido, los gastos derivados de su elecció será por cueta del afectado. 52 VII DERECHOS EN MATERIA DE PROTECCIÓN DE DATOS

53 b. Derecho de rectificació Puede los alumos solicitar la rectificació de los datos de su expediete escolar? Sí, siempre que se costate u error. El cetro o la Admiistració educativa tedrá que corregirlo siempre que se acredite el error. Se podrá ejercitar tatas veces como se advierta. Si se trata de meores de 14 años, lo tiee que ejercer sus padres o tutores. Este derecho de rectificació o se aplica a las calificacioes o al coteido de los iformes del expediete escolar que se rige por su ormativa específica. Puede ejercitarse el derecho de rectificació para modificar u iforme de evaluació psicopedagógica? No, ya que el derecho de rectificació se refiere a modificar los datos de carácter persoal que sea iexactos o icompletos (por ejemplo, el cambio de direcció postal), pero o se puede utilizar para tratar de modificar la opiió realizada por u profesioal a través del correspodiete iforme que se rige por su ormativa específica. 53 VII DERECHOS EN MATERIA DE PROTECCIÓN DE DATOS