La vuelta al cole: ¿Cómo se protegen los datos personales en las aulas?

¿Eres docente o gestionas una plataforma e-learning? Empieza septiembre y llega la vuelta al cole y con ello el momento de recordar cómo se gestiona la protección de datos en el ámbito académico. 

Si eres docente, equipo directivo de un centro educativo, o propietario o desarrollador de una plataforma de e-learning o SaaS educativo, no puedes olvidarte de la normativa de protección de datos. Es importante recordar que tienes obligaciones legales concretas cada vez que gestionas datos del alumnado, por ejemplo, cuando grabas una sesión virtual, das de alta un usuario en una aplicación educativa o contratas un servicio digital para usar en el aula. 

Estamos viviendo en una constante transformación digital del sector educativo que se ha materializado con el incremento de plataformas e-learning, con SaaS educativos y aulas virtuales. Este desarrollo tecnológico lleva consigo distintos retos en materia de protección de datos, especialmente cuando se trata de alumnos menores de edad. 

Es por eso que, las administraciones educativas, centros docentes y proveedores de plataformas educativas deben cumplir el siguiente marco legal:  el Reglamento General de Protección de Datos (RGPD), la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) y los criterios de la Agencia Española de Protección de Datos (AEPD).

En este artículo vamos a explicarte los principales requisitos legales para garantizar la protección de datos en cada uno de estos contextos educativos.

1. La protección de datos en las plataformas e-learning

Las plataformas de e-learning tratan grandes volúmenes de datos personales. Y por lo tanto, en el caso de los menores, se debe tener en cuenta que el RGPD subraya que los datos de menores requieren una protección especial, dada su vulnerabilidad.

La AEPD distingue entre dos tipos de datos en plataformas e-learning:

• Datos proporcionados por los usuarios: nombres, direcciones de correo, calificaciones, trabajos enviados, comunicaciones. En estos casos los responsables del tratamiento serían los centros educativos. 
• Datos generados automáticamente: direcciones IP, identificadores de dispositivo, datos de localización, registros de actividad, cookies, metadatos de uso. Aquí el proveedor puede actuar simultáneamente como responsable del tratamiento respecto a estos datos, si los utiliza con finalidades propias (análisis de comportamiento, mejora de productos, perfilado).

Además, se debe tener en cuenta que las plataformas e-learning, a veces, incluyen servicios distintos a la función educativa como buscadores, plataformas de vídeo publicitarias o herramientas de inteligencia artificial con fines comerciales. Es por eso que, según las directrices de la AEPD, estos servicios deben encontrarse desactivados por defecto.

Grabación de las sesiones

Muchas veces, en las clases virtuales se puede pretender realizar una grabación de la sesión. Es por eso que, en esos casos para gestionarlo de acuerdo con la normativa se requiere aplicar los siguientes requisitos y principios: 

1. Información y transparencia. El profesorado y el alumnado deben ser informados sobre el tratamiento de sus datos antes del inicio del curso. Una posibilidad para las plataformas de e-learning es mostrar este aviso en las condiciones de privacidad y requerir su lectura y aceptación que permita recopilar válidamente su consentimiento. También se recomienda que antes de comenzar la clase se advierta al alumnado que la sesión va a ser grabada. 
2. Principio de limitación de la finalidad. Las grabaciones de las sesiones solo se pueden utilizar para el fin educativo del cual se ha informado previamente. 
3. Gestión del consentimiento. Se debe recabar el consentimiento explícito y específico del alumnado para permitir la grabación de las sesiones.
4. Derecho de oposición. El alumnado tiene derecho a oponerse a que se sigan tratando sus datos personales. 
5. Derecho a retirar el consentimiento. El alumnado tiene derecho a retirar el consentimiento prestado en cualquier momento, hecho que no afectará la licitud de las grabaciones realizadas previamente en las cuales había otorgado el consentimiento de forma válida. 

Transferencias internacionales en plataformas e-learning

Muchas plataformas e-learning almacenan datos en servidores estadounidenses o multinacionales y, en este ámbito fue decisiva la Sentencia del TJUE de julio 2020 (asunto C‑311/18). En esta sentencia, el TJUE constató que una decisión de adecuación de la Comisión Europea certifica que un país garantiza un nivel de protección equivalente al de la UE y, de esta manera, se permiten las transferencias de datos. En esta sentencia se invalidó el Escudo de Privacidad entre la UE y los EUA, hecho que provocó tener que acudir a las cláusulas contractuales tipo (SCC). A través de este mecanismo, se debe verificar caso por caso si la legislación del país destinatario permite respetar este nivel de protección equivalente a la UE y, en caso de no poder aplicar medidas complementarias suficientes para garantizar la seguridad, el exportador tiene la obligación de interrumpir la transferencia de los datos. Es por ese motivo que, varios países europeos desaconsejan o restringen el uso de plataformas que se alojan fuera de la UE para actividades educativas y se recomienda utilizar plataformas con alojamiento íntegro en la UE. 

2. Plataformas SaaS educativas

Es muy importante que se las las plataformas SaaS mantengan una protección de los datos desde el diseño y por defecto. Esto significa que:

• La plataforma debe estar configurada con solo los datos necesarios.

• Los servicios adicionales deben permanecer desactivados: Herramientas publicitarias, analíticas comerciales o de IA deben estar apagadas por defecto.
• Controles granulares: Se debe permitir al responsable activar o desactivar las diversas funcionalidades.
• Configuración segura: Se deben establecer contraseñas robustas, autenticación multifactor y cifrado de datos.

Plataformas educativas en las aulas

En el ámbito escolar, la AEPD recomienda que las aplicaciones educativas deben estar incluidas en la política de seguridad de los centros educativos. Además, para permitir el uso de estas aplicaciones en las aulas, el profesorado debe solicitar la autorización del centro que llevará a cabo una evaluación de su seguridad. 

El centro educativo solo debe autorizar el uso de plataformas SaaS que ofrezcan información clara y accesible en su política de seguridad sobre:

• La identidad y dirección del responsable del tratamiento.
• Las finalidades específicas del uso de los datos. Se debe evitar que una de las finalidades consista en la elaboración de perfiles de los menores de edad.
• Las posibles comunicaciones de datos a terceros, su identidad y la finalidad por la que se ceden.
• Los derechos de los titulares de los datos.
• La ubicación de los servidores donde se almacenan los datos y sus plazos de conservación.
• Las medidas de seguridad de la aplicación 
• Los accesos que realiza la aplicación al dispositivo (como micrófono, cámara o localización) o a datos almacenados en el terminal.

Medidas de seguridad técnicas exigibles al SaaS

El proveedor del servicio debe facilitar las herramientas técnicas adecuadas para que el centro educativo pueda cumplir con los requisitos de seguridad, entre ellas: 

• Copias de seguridad: la aplicación debe proveer mecanismos que permitan realizar copias de seguridad o descargar datos para que el Centro cumpla con las obligaciones que se le exigen al respecto. Por eso, es importante que el centro incluya en su política de seguridad la realización de copias de seguridad de los datos tratados en estas aplicaciones. 
• Autenticación inequívoca y personalizada de los usuarios. En el caso de los menores, la AEPD recomienda una identificación de los menores mediante códigos de usuario y contraseña. Así mismo, se debe evitar la identificación de los menores mediante sistemas biométricos como por ejemplo el reconocimiento facial o la huella dactilar. 
• Minimización de datos: Es importante tener en cuenta que las herramientas deben limitar la recopilación de datos al mínimo necesario, evitando pedir información excesiva.

Conclusión

La transformación digital de la educación ofrece grandes oportunidades, pero también plantea nuevos retos en materia de privacidad y protección de datos, especialmente en la protección de datos de los menores. Las plataformas e-learning y los SaaS educativos deben garantizar que la protección de datos esté presente desde el diseño y por defecto, aplicando criterios de minimización, transparencia, seguridad y control sobre el uso de la información.

Para los centros educativos, no se trata únicamente de escoger herramientas tecnológicas para las aulas, sino que deben asegurarse de que estas cumplen con las obligaciones establecidas por el RGPD, la LOPDGDD y las recomendaciones de la AEPD. Por lo tanto, es necesario realizar una evaluación de la seguridad de las aplicaciones, conocer dónde se almacenan los datos y controlar qué información se recopila y con qué finalidad. Todos estos pasos son imprescindibles para poder construir entornos educativos digitales seguros y respetuosos con la privacidad del alumnado y sobre todo de los menores.

¿Quieres cumplir con todos estos requisitos?

Contar con textos legales actualizados y una correcta gestión del consentimiento es clave para cumplir con la normativa y ofrecer un entorno digital seguro.

Con Lawwwing puedes automatizar la creación y actualización de tus textos legales y política de privacidad, adaptados a tu actividad y a la normativa aplicable. Además, podrás implementar un banner de cookies que gestione correctamente el consentimiento de los usuarios.

Automatiza tus textos legales y configura tu banner de cookies de forma sencilla con Lawwwing.