La protección de datos en los centros educativos

Definición de protección de datos en los centros educativos

Los datos personales de un centro incluyen nombres y direcciones, calificaciones y boletines de notas, ausencias, fotos y mensajes a las familias. La información sobre salud, por ejemplo la procedente de justificantes médicos, goza de una protección especial.

En sentido estricto, la protección de datos determina si un centro puede tratar esos datos y con qué finalidad. La seguridad de los datos abarca las medidas técnicas y organizativas que los protegen, como el cifrado y los derechos de acceso.

Base jurídica y principios

Las normas clave son el Reglamento General de Protección de Datos (RGPD), las leyes de protección de datos de los estados federados alemanes y sus leyes escolares. Juntas determinan qué datos puede tratar un centro para cumplir su misión educativa.

Para todo lo que exceda esta misión, el centro suele necesitar consentimiento. El consentimiento es voluntario y retirarlo debe ser tan fácil como darlo.

Principios del RGPD

Todo tratamiento debe respetar estos principios:

• Licitud y transparencia: el centro solo trata datos con una base jurídica e informa a las personas afectadas con un lenguaje claro.
• Limitación de la finalidad: los datos recogidos con un fin no pueden reutilizarse sin más para otro.
• Minimización de datos: el centro solo recoge lo que exige la tarea.
• Exactitud: los datos deben ser correctos y la información incorrecta se rectifica.
• Limitación del plazo de conservación: los datos se suprimen cuando el centro ya no los necesita para su finalidad.
• Integridad y confidencialidad: el centro protege los datos frente al acceso no autorizado, la alteración y la pérdida.
• Responsabilidad proactiva: el centro debe poder demostrar que cumple estos principios.

Funciones y responsabilidades

El responsable del tratamiento según el RGPD suele ser el centro, representado por su dirección. Los docentes y el personal administrativo tratan datos por cuenta del centro y están sujetos a confidencialidad.

Los centros públicos necesitan delegados de protección de datos que los asesoren y comprueben que se cumplen las normas. Una misma persona puede ser responsable de varios centros.

Si un prestador de servicios trata datos por cuenta del centro, por ejemplo como proveedor de software escolar, ambas partes firman un contrato de encargo de tratamiento. El centro sigue siendo responsable.

Derechos de los interesados y brechas de seguridad

El alumnado, las familias y el personal tienen derechos como el acceso a sus datos, la rectificación y la supresión. El centro debe responder en el plazo de un mes; en solicitudes complejas, este plazo puede ampliarse.

El centro solo puede suprimir los datos que ya no estén sujetos a una obligación de conservación. Los estados federados alemanes fijan durante cuánto tiempo conservan los centros documentos como los boletines de notas o los expedientes del alumnado.

Si se pierden datos o llegan a personas no autorizadas, el centro notifica la brecha a la autoridad de control sin dilación indebida, salvo que sea improbable que suponga un riesgo para las personas afectadas. Si el riesgo es alto, el centro informa además directamente a los afectados. Toda brecha debe documentarse, aunque no sea necesaria la notificación. Este resumen no sustituye el asesoramiento jurídico.

La protección de datos en el día a día del centro

La protección de datos en OhayoSchool

OhayoSchool trata los datos de su centro como encargado del tratamiento y el contrato de encargo de tratamiento forma parte de cada contrato de usuario. Todos los datos se guardan en servidores dedicados en Alemania y se cifran tanto en reposo como en tránsito.

El equipo de OhayoSchool solo accede a la cuenta de su centro cuando usted lo autoriza para una solicitud concreta. El acceso tiene límite de tiempo y es de solo lectura al principio y cada sesión aparece en un registro que su centro puede consultar. Sin autorización, OhayoSchool solo accede a la cuenta en caso de incidente de seguridad y lo notifica de inmediato a su centro.

Solo se crea un perfil de aprendizaje cuando los padres, madres o tutores han dado su consentimiento. OhayoSchool seudonimiza los perfiles de aprendizaje y los datos de práctica. Los modelos de lenguaje se ejecutan en servidores propios de OhayoSchool y ninguna consulta se envía a proveedores externos de IA.

OhayoSchool incluye estas herramientas para ayudar a su centro a cumplir sus obligaciones:

• Decida usted mismo qué rol ve y modifica qué datos y consulte en el registro cada cambio en los datos del centro.
• Responda a las solicitudes de acceso y supresión en OhayoSchool. OhayoSchool lleva a cabo la supresión anonimizando los registros de la persona.
• Lleve el control del consentimiento para cada tipo de tratamiento, incluida cada retirada.
• Ajuste los plazos de conservación en OhayoSchool a las normas de su estado federado.
• Registre cada brecha de seguridad y vea en un solo resumen cuánto ha avanzado cada caso.
• Vincule a las familias con su hijo o hija mediante un código personal que usted envía por carta o por correo electrónico. Su secretaría escolar aprueba las solicitudes sin código y usted puede revocar cualquier vínculo.
• Cada usuario puede descargar los datos de su propia cuenta.

Preguntas frecuentes