1.A. Protección de datos

La intimidad personal es un derecho fundamental (*), y todas las personas tenemos derecho a que nuestros datos personales sean protegidos.

La "Ley Orgánica de protección de datos" tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.

Los centros educativos -y los coordinadores TIC- no estamos al margen de esta ley y, por tanto, debemos garantizar la seguridad de los datos de los alumnos, profesores, personal laboral o padres y madres. Los datos que manejamos en los colegios e institutos, en determinados casos son especialmente sensibles, sobre todo en lo que respecta a la información académica, datos de orientación psicopedagógica, datos de creencias religiosas, etc.

La ley regula, entre otros, tres aspectos principales:

• La creación de ficheros con datos personales

• La recogida y tratamiento de datos personales

• El acceso, la cesión y/o comunicación y las seguridad de los datos personales.

(*) El articulo 18 de la Constitución, garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen

Un fichero es todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso; y por datos de carácter personal entendemos cualquier información concerniente a las personas (nombre, domicilio, datos familiares, de salud, académicos, etc.)

Para el desarrollo de la actividad de un centro docente está justificado crear ficheros con datos personales de los trabajadores, otro con los datos personales de los alumnos y sus familias y, otro tipo de ficheros adicionales.

Joaquín Muñoz, abogado de Abanlex Abogados, especializado en la ley orgánica de protección de datos y Nuevas Tecnologías señala en su Blog que los ficheros más comunes que han de ser registrados por el tratamiento habitual de datos en un centro educativo son:

• Expediente académico (calificaciones, absentismo…).
• Personal docente (fichero de profesores para gestión interna. Distinguir del fichero de recursos humanos de la Consejería de Educación).
• Personal no docente (mantenimiento, limpieza…).
• Servicios complementarios (comedor, transporte, guardería…).
• Proveedores.
• Admisión de alumnos (matriculaciones, solicitudes…).
• Orientación psicopedagógica.
• Otros (*) en función de los servicios y características del centro.

Para crear un fichero, el responsable del mismo deberá notificarlo previamente al Registro de la Agencia de Protección de Datos.

(*) Dentro del grupo otros, podríamos considerar, el fichero de la biblioteca, los ficheros que hagan los profesores y tutores de sus alumnos, los que hagan los jefes de departamento, etc.

Según la ley de protección de datos, el responsable de los ficheros de datos personales es la persona física y jurídica, de naturaleza pública o privada, u órgano administrativo, que puede decidir sobre el contenido, la finalidad y uso de los datos. En los centros docentes, por tanto será la Entidad Titular del Centro.

En los centros públicos de enseñanza la responsabilidad sobre los ficheros corresponderá a los órganos administrativos que tratan la información y tienen competencias en la materia, teniendo capacidad de decidir sobre el contenido, finalidad y uso del tratamiento de datos que se realiza. Así por ejemplo, el fichero de alumnos dependerá de la Dirección del Centro, mientras que los ficheros de profesores y de personal de administración y servicios del centro serían responsabilidad de la Dirección General de Recursos Humanos de la Consejería de Educación. Todo ello sin perjuicio de los ficheros de profesores y personal de administración y servicios que estén adscritos a un determinado centro, cuya finalidad sea la gestión interna, de los cuales sería también responsable la Dirección del centro.

No hay que confundir el responsable del fichero con el encargado del tratamiento que es la persona (personal de secretaría, administración, etc.) que trata datos personales por cuenta del responsable del fichero.

También se indica que no se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad ya las de los centros de tratamiento, locales, equipos, sistemas y programas.

Se define el tratamiento de datos como aquellas operaciones y procedimientos de carácter automatizado o no, que permitan recoger, grabar, conservar, elaborar, modificar, bloquear y cancelar los mismos, así como las cesiones de esos datos a terceros que resulten de comunicaciones, consultas, interconexiones y transferencias.

El artículo 4 de la ley indica que:

• Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.

• Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos.

• No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.

• Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.

• Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.

• No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados.

• Reglamentariamente se determinará el procedimiento por el que, por excepción, atendidos los valores históricos, estadísticos o científicos de acuerdo con la legislación específica, se decida el mantenimiento integro de determinados datos.

• Los datos de carácter personal serán almacenados de forma que permitan el ejercicio del derecho de acceso, salvo que sean legalmente cancelados.

• Se prohíbe la recogida de datos por medios fraudulentos, desleales o ilícitos.

Teniendo en consideración estos puntos, el Centro podrá recoger y tratar aquellos datos personales que sean necesarios, adecuados y no excesivos en relación con la finalidad para la cual se solicitan, y podemos considerar que estarían dentro de este principio de adecuación los siguientes datos:

Determinados datos, son considerados como esencialmente íntimos y personales, y la ley de protección de datos obliga a que sean tratados y protegidos de forma especial. Dentro de este ámbito podemos encontrar:

• Datos que informan sobre ideología, religión o creencias. En este caso, el interesado tiene derecho a no declarar sobre estos datos. De igual forma siempre que se recopilen datos de este tipo, se tendrá que recabar el consentimiento por escrito del interesado para que este tipo de datos puedan ser objeto de tratamiento.

• Datos relacionados con el origen racial, con la salud y con la vida sexual. Estos datos sólo podrán obtenerse cuando, por razones de interés general, así lo disponga una ley o el afectado consienta expresamente. Por ejemplo cuando resulte necesario para la prestación o tratamiento médico.

En los centros docentes, se podrá recabar y tratar datos médicos de los alumnos cuando resulte necesario para la organización del centro y la prestación de la adecuada atención médica de los alumnos.

Es recomendable que estos datos protegidos no se incorporen a ficheros automatizados sino a ficheros manuales. El Reglamento de medidas de seguridad de los ficheros automatizados exige a los ficheros que contengan datos especialmente protegidos unas medidas de seguridad de nivel alto que requerirían fuertes inversiones económicas.

El artículo 5 de la ley de protección de datos indica que en el momento de recoger datos personales se informe al interesado de una serie de cuestiones.

En nuestro ámbito educativo se deberá informar de:

• La existencia del fichero,
• La finalidad de la recogida de los datos,
• Los destinatarios de la información
• La posibilidad de ejercitar los derechos de acceso, rectificación y cancelación
• La identidad y dirección del responsable del fichero.

A continuación se muestran algunos modelos de cláusulas informativas para alumnos/padres y personal del Centro docente.

> Alumnos menores de edad y padres

(Valido también para alumnos mayores de edad)

> Alumnos mayores de edad

> Personal docente y laboral

Por cesión o comunicación de datos se entiende toda revelación de datos realizada por el responsable del fichero a una persona distinta del interesado.

El acceso a los datos personales de un archivo sólo lo podrán realizarlo aquellas personas que, cumpliendo su cargo o función, están autorizadas a ello.

Los datos sólo podrán cederse y comunicarse para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. Este consentimiento sólo será válido si se ha informado previamente al interesado de la finalidad a la que se destinarán sus datos o el tipo de actividad que realiza el receptor de los datos personales.

En un centro docente es habitual crear y hacer públicos listados de grupos de alumnos y de profesores con información importante (calificaciones, horarios, datos personales…) En estos casos se tendrá que extremar las precauciones incluyendo solo los datos imprescindibles y colocando dichos listados en lugares de acceso restringido.

También en los centros docentes es previsible realizar cesión de datos a las asociaciones vinculadas al Centro (AMPA, antiguos alumnos…) En este caso se tendrá que solicitar el consentimiento para esta cesión en el momento de recoger los datos. Si al recoger los datos no se solicita este consentimiento, el centro deberá enviar previamente una carta informativa y solicitando el consentimiento.

La cesión de estos datos a las Administraciones Educativas, en principio no requerirá el consentimiento previo del interesado, ya que la cesión es necesaria para el cumplimiento del servicio educativo que presta el Centro. Sin embargo, en ocasiones cuando se trate con datos especialmente protegidos (salud, raza, etc.) pueden plantearse dudas que convendrá consultar.

Hasta aquí hemos visto algunos de los aspectos más importantes y generales de la protección de datos en los centros docentes. Las cuestiones y dudas que se nos pueden plantear relacionadas con estos temas son muchas, y en este capítulo vamos a tratar algunas que puede estar más relacionadas con los coordinadores TIC y las nuevas tecnologías.

Además de los ficheros tradicionales basados en la introducción de datos alfanuméricos, las nuevas tecnologías están introduciendo otros tipos de información, cómo son los sistemas de videovigilancia que también deben cumplir los principios de la protección de datos. Lo mismo valdría para los sistemas de control de acceso y presencia por huella digital.

Las fotografías e imágenes de los alumnos y profesores también son datos de carácter personal y quedan protegidas por la ley de protección de datos siempre y cuando conciernan a personas identificadas o identificables.

La publicación de datos y fotografías en una web constituye una cesión de datos. Por esta razón para incluir datos personales en la página web del centro es necesario el consentimiento previo del afectado.

El apartado 8 de la Instrucción de la Viceconsejería de Educación, sobre la inclusión en el portal Educamadrid de las páginas o sitios Web de los centros y servicios educativos, señala que "…el Director del centro debe contar con el consentimiento por escrito, según el formato que se incluye en el Anexo II, de todas las personas cuya imagen y otros datos personales (nombre, correo electrónico…) aparezcan en las páginas Web, siempre que a través de ellos se les pueda identificar…" El anexo II de esta instrucción incluye un modelo de consentimiento para la publicación de datos y/o fotografías.

CONSULTAS FRECUENTES EN EL ÁMBITO EDUCATIVO:

En este apartado se facilita el acceso a una serie de documentos que ayudarán a conocer mejor la protección de datos y a aclarar bastantes de las dudas que pueden surgir durante el desempeño de nuestra actividad.

Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal
Ley 8/2001, de 13 de julio, de Protección de Datos de Carácter Personal en la Comunidad de Madrid
Guía de protección de datos de carácter personal para los centros de enseñanza
Protección de datos: consultas frecuentes en educación (Agencia de Protección de datos de la Comunidad de Madrid)
Protección de datos personales de los niños (Directrices generales y el caso especial de los colegios) Agencia española de protección de datos
Cuaderno de protección de datos personales para empleados públicos (Agencia de Protección de Datos de la Comunidad de Madrid)
ORDEN 1846/2008, de 8 de abril, de la Consejería de Educación, por la que se crea el Registro de Historiales Académicos y Alumnado Escolarizado en la Comunidad de Madrid, y se establecen los criterios generales y procedimientos telemáticos para su gestión
Guía recomendaciones a usuarios de internet. (Agencia española de protección de datos)
Guía del responsable de ficheros (Agencia española de protección de datos)
Guía del Derecho Fundamental a la Protección de Datos de Carácter Personal(Agencia española de protección de datos)
Estudio sobre la privacidad de los datos personales y la seguridad de la información en las redes sociales online. (Agencia española de protección de datos)
Plan sectorial de oficio a la enseñanza reglada no universitaria. (Agencia española de protección de datos)
Instrucciones de la Viceconsejería de Educación, sobre la inclusión en el portal Educamadrid de las páginas o sitios web de los centros y servicios educativos.
Responsable del fichero en la enseñanza pública. (Agencia española de protección de datos) -Informe jurídico.
Tratamiento de datos por centros de enseñanza (Agencia española de protección de datos) -Informe jurídico.
Naturaleza de los ficheros de un Colegio Privado Concertado. (Agencia española de protección de datos) -Informe jurídico.