El pasado día 23 de enero APDTIC impartió una sesión formativa sobre protección de datos personales y seguridad en el ámbito de los centros educativos y las AMPAS (Asociaciones de Madres y Padres de Alumnos). La charla estuvo a cargo de André Castelo y se enmarcaba en el Grupo de Trabajo de Ciudadanía del Nodo gallego de ciberseguridad CIBER.gal.
En este artículo, vamos a tratar de repasar las cuestiones más importantes que nuestro Socio Director trató durante la sesión y que pueden resultar de utilidad para cualquier centro educativo y AMPA de nuestro país.
Por supuesto, si quieres también puedes acceder directamente a la grabación de la charla:
La responsabilidad de las AMPAS
En el ámbito de la seguridad y la protección de datos personales, las AMPAS tienen una responsabilidad que no siempre conocen. Recordemos que con mucha frecuencia tratan numerosos datos de carácter personal (sociales, profesionales, económicos, etc.) que sirven para identificar tanto a los padres como a los alumnos. Por esta razón, se convierten en responsables directos de su tratamiento y, en consecuencia, adquieren una serie de obligaciones.
Una de estas obligaciones es la de contar con la legitimación para tratar datos personales, que, atendiendo a la legislación vigente, solo concurre si dichos datos se necesitan para:
- Consentimiento expreso de la persona interesada o su representante.
- La ejecución de un contrato.
- Cumplir con una obligación legal.
- Proteger intereses vitales.
- Llevar a cabo acciones de interés público.
- Satisfacer intereses legítimos, si sobre ellos no prevalecen los derechos o libertades de los interesados.
Teniendo todas estas condiciones en cuenta, podríamos llegar a la conclusión de que muy pocas veces una AMPA está legitimada para tratar los datos personales de sus asociados. Sin embargo, hay otra vía: el consentimiento previo y expreso.
Sobre el consentimiento expreso de los interesados
Para que el consentimiento legitime el tratamiento de los datos, debe obtenerse siempre con carácter previo a la recogida de los mismos. Además, según el RGPD (Reglamento General de Protección de Datos), este consentimiento debe ser informado, inequívoco, específico y libre.
Un ejemplo correcto de solicitud de consentimiento sería pedir a los padres y madres al principio del curso una autorización para captar y publicar imágenes de las actividades que organice el AMPA.
Medidas de seguridad de la información que se deben tener en cuenta
Como expertos en protección de datos (y también como delegados de protección de datos), recomendamos tener muy presentes las siguientes medidas de seguridad que se pueden implementar y que no son tan complejas ni técnicamente exigentes como nos podemos llegar a imaginar:
- Uso de gestor de contraseñas.
- Adecuada organización de la información.
- Conservación de los datos según la normativa.
- Control de acceso a la información y permisos.
- Datos solo accesibles a personas autorizadas.
- Cifrado de la información.
No obstante, a veces, y por muchas medidas que se implementen, tienen lugar las brechas de seguridad, que son violaciones que ocasionan su destrucción, pérdida o alteración. Si esto sucede, y siguiendo lo que indica el RGPD, se debe comunicar el hecho a los interesados en un plazo máximo de 72 horas.
Algunos casos prácticos en el contexto de las AMPAS
Como todo esto puede parecer a priori muy abstracto, vamos a tratar de ilustrarlo mediante algunos ejemplos frecuentes hoy en día en el ámbito educativo:
Tratamiento y publicación de imágenes
Las AMPAS deben contar siempre con el consentimiento expreso tanto para la captación como la publicación de imágenes que incluyan a alumnos o a sus familiares. E, incluso aunque se cuente con autorización, se recomienda que las imágenes grabadas sean planos lo más generales posible, con el fin de dificultar al máximo la identificación de las personas físicas, especialmente si son menores de 14 años.
Promoción de actividades
Si se va a realizar alguna actividad específica, se debería preguntar o consultar acerca de la opción de recibir toda la información por email o teléfono, sobre todo si son actividades externas. Lo ideal es establecer un protocolo desde el AMPA para evaluar la legitimación de todas las acciones que impliquen a los asociados.
Uso de mensajería instantánea (WhatsApp, Telegram, etc.):
En este punto tan polémico resulta esencial distinguir entre:
- Listas de difusión de WhatsApp: la opción ideal si solo queremos difundir información a quienes hayan otorgado su permiso, ya que por esta vía los destinatarios no pueden responder, saber quién forma parte de la lista, ni conocer sus números de teléfono.
- Grupos de WhatsApp: el uso de los grupos, en cambio, debería limitarse al máximo, ya que en ellos quedan expuestos todos los números de teléfono.
Además, en general no se considera que WhatsApp sea el canal adecuado para distribuir imágenes o documentos.
Redes sociales
En caso de disponer de perfiles en redes sociales, aconsejamos la creación de un protocolo, especialmente si existen varios administradores. Ha de establecerse de manera formal qué tipo de publicaciones se van a compartir, qué filtro se emplea para la publicación de imágenes o cómo se van a gestionar los consentimientos, por ejemplo.
Aunque estamos más que habituados a usarlas en nuestro día a día, debemos tener en cuenta que no se puede publicar todo en una red social, ni tampoco ha de convertirse esta en una vía frecuente para la resolución de consultas que implique la solicitud de información personal.
