RGPD: ¿qué datos del alumnado puede recoger un docente?

Quién responde de qué

Es el punto peor comprendido, y de él depende todo lo demás.

• El centro es el responsable del tratamiento. Es quien decide por qué y cómo se usan los datos. El docente actúa en ese marco, no a título personal.
• La empresa que edita la herramienta es encargada del tratamiento. Trata los datos por cuenta del centro, siguiendo sus instrucciones, y no puede usarlos con otros fines.
• Existe una persona delegada de protección de datos en la mayoría de las organizaciones. Es tu interlocutora antes de adoptar una herramienta, no después de un incidente.

Consecuencia práctica: quien adopta una herramienta por su cuenta compromete a su centro sin que este lo sepa. No es una falta moral, es un punto ciego frecuente, y justo lo que evita el procedimiento que sigue.

¿Con qué base se pueden tratar esos datos?

Todo tratamiento necesita una base jurídica. En educación, la más frecuente no es la que se suele suponer.

• Misión de interés público: la base habitual en la enseñanza pública. Impartir clase, evaluar y hacer seguimiento forman parte de la misión del centro.
• Ejecución de un contrato: lo habitual en la enseñanza privada y en la formación profesional, donde la persona se ha inscrito para recibirla.
• El consentimiento rara vez es la base adecuada. Presupone una elección libre, dudosa entre alumnado y profesorado. Un consentimiento que no se puede rechazar sin consecuencias no es válido.

El consentimiento sigue siendo pertinente para lo que excede el marco docente: publicar una fotografía, difundir un trabajo fuera del aula, usar un servicio opcional.

Qué es justificable y qué no

El principio de minimización se comprueba con una pregunta simple: ¿funcionaría la actividad sin ese dato? Si la respuesta es sí, no lo recojas.

• Un nombre, durante una actividad: justificable en casi todos los casos. Sirve para atribuir una respuesta durante la sesión, y nada más.
• Nombre y apellidos: justificable si hay que seguir la progresión de una persona identificada a lo largo del tiempo o emitir un certificado.
• Correo electrónico personal: rara vez necesario para una actividad de aula. Un enlace proyectado evita esa recogida.
• Fecha de nacimiento, dirección, teléfono: sin relación con una actividad pedagógica. Pertenecen al expediente administrativo del centro.
• Fotografías y grabaciones: régimen aparte, que exige información específica y, fuera del marco estrictamente pedagógico, acuerdo.

El reflejo útil es el contrario del habitual: no preguntes «¿puedo recoger esto?», sino «¿qué puedo no recoger?». Una actividad que funciona con un nombre escrito al vuelo es mucho más fácil de justificar que una ficha de alumno completa.

Cuánto conservar y cómo borrar

El plazo de conservación es la obligación que más se olvida. Un dato no debe permanecer indefinidamente porque «podría servir».

• Los registros de actividad (participaciones, respuestas) no tienen utilidad más allá del curso escolar. Purga al final.
• Los resultados de evaluación se conservan mientras dura el itinerario y luego se rigen por las normas de archivo del centro.
• Las cuentas del alumnado que se ha ido deben suprimirse. Es el stock que más se olvida y el más expuesto ante un incidente.

Comprueba que la herramienta borra de verdad y no solo oculta. Un «archivado» que conserva todo indefinidamente no cumple la obligación.

Las personas afectadas tienen derechos que hay que poder atender: acceder a sus datos, corregirlos y solicitar su supresión. Una familia que escribe debe obtener respuesta en el plazo de un mes.

Siete preguntas antes de adoptar una herramienta

Esta lista cabe en una página y puede plantearse a cualquier proveedor. Una respuesta evasiva ya es una respuesta.

• Qué datos se recogen exactamente y cuáles son opcionales.
• Dónde se alojan. Un alojamiento en la Unión Europea simplifica mucho el expediente.
• ¿Hay transferencias fuera de la UE? Si las hay, ¿con qué garantía jurídica?
• ¿Existe contrato de encargo de tratamiento? Es obligatorio y debe facilitarse sin negociación.
• Qué plazos de conservación se aplican y si la supresión es efectiva.
• ¿Hay rastreadores publicitarios o reventa de datos? En contexto escolar la respuesta debe ser no.
• ¿Puede participar el alumnado sin crear cuenta? Suele ser la forma más sencilla de reducir la cuestión a casi nada.

Guarda las respuestas por escrito: constituyen la mayor parte del expediente que pedirá la persona delegada de protección de datos.

Este artículo describe principios generales y no constituye asesoramiento jurídico. Para un caso concreto, consulta a la persona delegada de protección de datos de tu organización.