Software escolar y RGPD: lo que de verdad importa
Software escolar y RGPD: la pregunta de fondo es casi siempre la misma. ¿Quién puede ver qué datos, dónde están alojados y quién asume la responsabilidad? La respuesta breve: el responsable del tratamiento según el RGPD es el centro educativo como institución, no el docente a título individual ni el proveedor. Este trata los datos por cuenta del centro y queda sujeto a sus instrucciones. Todo lo demás – contrato, roles, plazos de conservación, registros – se deriva de ese reparto de papeles. Esta página ordena los conceptos y muestra qué puntos conviene resolver antes de una implantación. No sustituye al asesoramiento jurídico: el derecho escolar corresponde a cada estado federado, y responden de forma vinculante la delegada o el delegado de protección de datos del centro y la autoridad de control del estado.
Próximamente
- Conforme al RGPD
- Alojado en Alemania
- Gratis para docentes
Un producto de SavePaper.work
Cuatro puntos que conviene resolver antes de implantar
El responsable es el centro
El RGPD reconoce un responsable del tratamiento: el centro educativo como institución. Él determina los fines y los medios, incluso cuando los datos están de hecho en el dispositivo particular de un docente.
Un contrato según el artículo 28
Quien trata datos por cuenta del centro necesita un contrato. En él se fija qué datos se tratan y con qué fin, qué subencargados intervienen y qué ocurre con los datos al terminar el contrato.
Acceso según el rol
No todo el claustro necesita cada dato. Un modelo de roles limita la vista a lo que exige la tarea y permite después acreditar quién accedió a qué y en qué momento.
Los plazos los fija el estado
Cuánto tiempo se conservan los documentos escolares lo regula cada estado federado de forma distinta, y los plazos varían además según la categoría de datos. Un programa debería reflejarlo en lugar de tratarlo todo igual.
Así transcurre una revisión de protección de datos
La revisión sigue casi siempre el mismo orden: primero aclarar quién es responsable, después describir qué se trata, luego leer el contrato y por último fijar roles y plazos.
-
1
Aclarar la responsabilidad
¿Quién decide sobre fines y medios: el centro, la administración titular o ambos? Esta pregunta va primero porque determina quién firma el contrato y quién responde ante las familias.
-
2
Describir el tratamiento
¿Qué datos, con qué fin, visibles para quién y durante cuánto tiempo? Estas indicaciones van al registro de actividades de tratamiento, que lleva el propio centro. Un proveedor puede aportar sus piezas.
-
3
Revisar contrato y medidas
El contrato de encargo y la descripción de las medidas técnicas y organizativas se leen juntos: ubicación del servidor, subencargados que intervienen, cifrado, supresión al terminar el contrato y la vía por la que el centro imparte instrucciones.
-
4
Fijar roles y plazos
Al final, la configuración: qué rol ve qué dato y qué plazo de conservación rige para cada categoría. Ambos dependen del derecho del estado federado y se fijan una vez para todo el centro, no por docente.
Los mismos datos, dos formas de llevarlos
Los conceptos que aparecen en cada revisión
Encargo, responsabilidad e instrucciones
El contrato de encargo de tratamiento del artículo 28 del RGPD no es un formulario, sino la descripción de una relación. El centro sigue siendo responsable y determina qué datos se tratan y con qué fin; el proveedor los trata únicamente siguiendo instrucciones y nunca para fines propios. Se regulan además la duración y el objeto, las categorías de personas afectadas, las medidas de protección, la asistencia ante solicitudes de acceso, la notificación de incidentes, el recurso a subencargados y el destino de los datos al terminar el contrato. Ese mismo reparto explica por qué una lista de notas en un portátil particular es un problema del centro: sigue siendo responsable, pero en un equipo ajeno no puede limitar el acceso ni acreditar qué ha pasado con el archivo.
Notas, faltas por enfermedad y artículo 9
No todos los datos escolares son igual de sensibles. El motivo de una falta por enfermedad es un dato de salud y pertenece por tanto a las categorías especiales del artículo 9 del RGPD, sujetas a exigencias más estrictas. En la práctica esto se desactiva: para justificar la ausencia suele bastar con saber que se debió a enfermedad, y el motivo sigue siendo voluntario. Las notas y valoraciones, en cambio, no entran en el artículo 9, lo que no las vuelve inocuas: describen el rendimiento durante años e influyen en promociones y titulaciones. De ambos casos se sigue lo mismo: vincular la visibilidad a la tarea, usar con mesura los campos de texto libre y guardar cifrado lo sensible en vez de repartirlo en archivos y adjuntos.
Conservar, suprimir, informar
Cada revisión acaba con tres preguntas: cuánto permanecen los datos, cómo desaparecen y qué ocurre si una familia pide información. Los plazos de conservación de la documentación escolar son derecho del estado federado y varían además según la categoría: asistencia en el libro de clase, datos de boletines, justificantes de enfermedad y comunicación con las familias se guardan tiempos muy distintos. Hojas de cálculo y buzones no saben separarlos, así que allí no suele suprimirse nada. Los artículos 15 y 20 exigen además entregar todo lo relativo a una persona, en forma legible y procesable por máquina. SchuleVernetzt lo reúne en una vista de protección de datos para la dirección: registro de accesos y cambios, un plazo por categoría según el estado federado y la exportación por persona.
Qué puede pedir un centro al proveedor
Antes de decidir se pueden reclamar cuatro documentos: el contrato de encargo de tratamiento, la descripción de las medidas técnicas y organizativas, una lista de los subencargados que intervienen con su ubicación y una descripción de los tratamientos con la que el centro alimente su propio registro de actividades de tratamiento. Un proveedor que reúne esos papeles solo a petición retrasa la revisión semanas. SchuleVernetzt los mantiene listos, para que administraciones y delegados de protección de datos no tengan que reconstruir nada. La aplicación y los datos escolares están alojados en Alemania.
Preguntas frecuentes sobre software escolar y protección de datos
Sé de los primeros cuando SchuleVernetzt se lance
Estamos desarrollando SchuleVernetzt a toda máquina. Déjanos tu correo y te avisaremos en cuanto tu escuela pueda empezar – gratis y sin compromiso.
Usamos tu dirección únicamente para avisarte en el lanzamiento y puedes darte de baja en cualquier momento.