Software escolar y RGPD: lo que de verdad importa
La pregunta que hay que resolver antes de contratar nada es siempre la misma: quién decide sobre esos datos, quién los ve y quién responde si algo sale mal. En España la respuesta tiene dos partes. El RGPD sitúa la responsabilidad del tratamiento en la institución, no en el docente ni en el proveedor: en los centros públicos suele recaer en la administración educativa de la comunidad autónoma y, en los concertados y privados, en la entidad titular del centro. Y la LOE añade el marco educativo: su disposición adicional vigesimotercera limita los datos del alumnado a los necesarios para la función educativa y de orientación, e impone el deber de sigilo a quien accede a ellos. Esta página ordena los conceptos; quien responde de forma vinculante es el delegado de protección de datos del centro.
Próximamente
- Conforme al RGPD
- Alojado en Alemania
- Gratis para docentes
Un producto de SavePaper.work
Cuatro puntos que conviene resolver antes de implantar
El responsable es la institución
El RGPD reconoce un responsable del tratamiento, y no es el docente a título individual aunque los datos estén de hecho en su portátil. Es el centro o la administración educativa de la que depende quien determina fines y medios.
Un contrato según el artículo 28
Quien trata datos por cuenta del centro necesita contrato de encargo. En él se fija qué datos se tratan y para qué, qué subencargados intervienen, dónde están alojados y qué ocurre con todo al terminar.
El centro tiene delegado de protección de datos
No es opcional: la LOPDGDD obliga a designar un delegado de protección de datos en todo centro docente (art. 34.1.b). En los centros públicos lo designa habitualmente la administración educativa autonómica.
Los plazos no son todos iguales
Los documentos oficiales de evaluación, el control de asistencia y la comunicación con las familias no se conservan el mismo tiempo. Los plazos vienen de la normativa autonómica y de archivos, y un programa debería reflejarlos.
Así transcurre una revisión de protección de datos
La revisión sigue casi siempre el mismo orden: primero aclarar quién es responsable, después describir qué se trata, luego leer el contrato y por último fijar roles y plazos.
-
1
Aclarar quién responde
¿Decide el centro, la administración educativa o ambos? Esta pregunta va primero porque determina quién firma el contrato, a qué delegado de protección de datos se acude y ante quién responde el centro frente a las familias.
-
2
Describir el tratamiento
Qué datos, con qué finalidad, visibles para quién y durante cuánto tiempo. Esas indicaciones van al registro de actividades de tratamiento del artículo 30 del RGPD, que lleva el responsable. Un proveedor puede aportar sus piezas ya redactadas.
-
3
Revisar contrato y medidas
El contrato de encargo y la descripción de las medidas técnicas y organizativas se leen juntos: ubicación de los servidores, subencargados, cifrado, supresión al terminar y la vía por la que el centro imparte instrucciones.
-
4
Fijar roles y plazos
Al final llega la configuración: qué rol ve qué dato y qué plazo de conservación rige para cada categoría. Ambos dependen de la normativa de tu comunidad autónoma y se fijan una vez para todo el centro, no docente por docente.
Los mismos datos, dos formas de llevarlos
Los conceptos que aparecen en cada revisión
Encargo, responsabilidad e instrucciones
El contrato de encargo del artículo 28 del RGPD no es un formulario, sino la descripción de una relación. El responsable sigue siendo el centro o su administración educativa y determina qué datos se tratan y para qué; el proveedor los trata únicamente siguiendo instrucciones y nunca para fines propios. Se regulan además la duración y el objeto, las categorías de personas afectadas, las medidas de seguridad del artículo 32, la asistencia ante el ejercicio de derechos, la notificación de brechas, el recurso a subencargados y el destino de los datos al terminar. Ese mismo reparto explica por qué una lista de notas en un portátil particular es un problema del centro y no solo del docente: la responsabilidad sigue siendo institucional, pero en un equipo ajeno nadie puede limitar el acceso ni acreditar qué ha pasado con el archivo.
Notas, salud y categorías especiales
No todos los datos escolares pesan igual. El motivo de una falta por enfermedad es un dato de salud y entra por tanto en las categorías especiales del artículo 9 del RGPD, con exigencias más estrictas. En la práctica el problema se desactiva casi solo: para justificar la ausencia basta con saber que fue por motivo de salud, y el diagnóstico no forma parte de lo que el centro puede exigir. Las calificaciones, en cambio, no son categoría especial, lo que no las vuelve inocuas: describen el rendimiento durante años y condicionan promoción y titulación. De ambos casos se sigue la misma conclusión: vincular la visibilidad a la tarea, usar con mesura los campos de texto libre y guardar cifrado lo sensible en lugar de repartirlo en adjuntos. La LOE refuerza esa línea con el deber de sigilo del profesorado y del personal que accede a datos familiares o que afectan a la intimidad de los menores.
Conservar, suprimir, informar
Cada revisión termina con tres preguntas: cuánto permanecen los datos, cómo desaparecen y qué pasa si una familia pide información. Los documentos oficiales de evaluación (actas, expediente académico, historial académico) tienen su propio régimen de autenticidad, seguridad y confidencialidad en la normativa de currículo, y su conservación se rige por la normativa de la comunidad autónoma y de archivos; el control de asistencia y la mensajería con las familias no duran lo mismo. Hojas de cálculo y buzones de correo no saben distinguir esas categorías, así que ahí no se suprime casi nunca nada. A eso se suman los artículos 15 y 20 del RGPD: acceso a una copia y, en determinados casos, entrega en formato legible por máquina. SchuleVernetzt lo reúne en una vista de protección de datos para la dirección: registro de accesos y cambios, un plazo por categoría y la exportación por persona.
Qué puede pedir un centro al proveedor
Antes de decidir se pueden reclamar cuatro documentos: el contrato de encargo del tratamiento, la descripción de las medidas técnicas y organizativas, la lista de subencargados con su ubicación y una descripción de los tratamientos con la que el centro alimente su propio registro de actividades. Un proveedor que reúne esos papeles solo cuando se los piden retrasa la revisión semanas. SchuleVernetzt los mantiene listos, para que ni la dirección ni el delegado de protección de datos tengan que reconstruir nada. La aplicación y los datos escolares están alojados dentro de la Unión Europea.
Preguntas frecuentes sobre software escolar y protección de datos
Sé de los primeros cuando SchuleVernetzt se lance
Estamos desarrollando SchuleVernetzt a toda máquina. Déjanos tu correo y te avisaremos en cuanto tu escuela pueda empezar – gratis y sin compromiso.
Usamos tu dirección únicamente para avisarte en el lanzamiento y puedes darte de baja en cualquier momento.