RESOLUCIÓ de 28 de juny de 2018, de la Sotssecretaria de la Conselleria d'Educació, Investigació, Cultura i Esport, per la qual es dicten instruccions per al compliment de la normativa de protecció de dades en els centres educatius públics de titularitat de la Generalitat. [2018/11040]
(DOGV núm. 8436 de 03.12.2018) Ref. Base de dades 010935/2018
-
Anàlisi jurídica
Data d'entrada en vigor: 28.06.2018 Aquesta disposició afecta: Afecta: -
Anàlisi documental
Origen de disposició: Conselleria d'Educació, Investigació, Cultura i Esport Grup temàtic: 000
La Llei orgànica 2/2006, de 3 de maig, d'educació, determina que els responsables de l'educació han de proporcionar als centres els recursos i els mitjans que necessiten per a desenvolupar la seua activitat i aconseguir aquest objectiu, mentre que aquests han d'utilitzar-los amb rigor i eficiència per a complir la seua comesa de la millor manera possible. És necessari, per tant, que la normativa combine tots dos aspectes, establint les normes comunes que tots han de respectar, així com l'espai d'autonomia que s'ha de concedir als centres docents.
El Reglament general de protecció de dades (RGPD), publicat en maig de 2016 i aplicable des de 25 de maig de 2018, és una norma d'aplicació directa en tota la Unió Europea, relatiu a la protecció de les persones pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades. L'RGPD ha substituït, des de maig de 2018, l'actual Llei orgànica de protecció de dades i el reglament que la desplega, i introdueix una sèrie de canvis i novetats als quals és necessari adaptar els actuals tractaments.
L'RGPD esmenta expressament el principi de responsabilitat proactiva i el descriu com la necessitat que siguen aplicades mesures tècniques i organitzatives apropiades pel responsable del tractament, amb la finalitat de garantir que el tractament és conforme al que es disposa en l'RGPD.
La Sotssecretaria de la Conselleria d'Educació, Investigació, Cultura i Esport és l'òrgan responsable dels fitxers de dades de caràcter personal segons estableix l'article 9 del Decret 130/2012, de 24 d'agost, del Consell, pel qual s'estableix l'organització de la seguretat de la informació de la Generalitat, i ha de vetlar, dins del seu àmbit de competència, pel compliment de la legislació en matèria de protecció de dades. Per tant, és necessari dictar instruccions respecte a les mesures a dur a terme pels centres educatius públics on existisquen tractaments de dades de caràcter personal.
El director o directora del centre educatiu haurà d'acomplir els principis i mesures de seguretat recollides en l'annex I. Aquest annex serà difós pel director o la directora en el mateix centre educatiu a la resta de l'equip directiu, al claustre de professors, al consell escolar, així com a qualsevol altre òrgan col·legiat del centre que considere oportú.
Les dades personals que s'emmagatzemen (tant en suport informàtic com en paper) que no estiguen en el sistema informàtic per a la gestió del centre educatiu proporcionat per la conselleria competent en matèria d'educació, seran les estrictament necessàries per a contactar amb l'alumnat o el seu representant legal en cas de fallada puntual del sistema d'informació.
Per tot això, i en virtut de les competències establides en el Decret 186/2017, de 24 de novembre, del Consell, pel qual aprova el Reglament orgànic i funcional de la Conselleria d'Educació, Investigació, Cultura i Esport, resolc:
Primer
Aprovar el manual informatiu inclòs en l'annex I, al qual haurà d'ajustar-se l'organització i els tractaments d'informació dels centres educatius públics de la Generalitat.
2. Establir el marc normatiu que figura en l'annex II.
3. Establir plantilles i models de referència per a l'aplicació de les matèries i procediments descrits en el manual informatiu en l'annex III.
València, 28 de juny de 2018. El sotssecretari: José Vicente Villar Rivera.
ANNEX I
Manual informatiu en matèria de protecció de dades per als centres educatius públics de titularitat de la Generalitat
1. Conceptes bàsics
1.1. Una dada de caràcter personal és qualsevol informació alfanumèrica, gràfica, fotogràfica, acústica o de qualsevol altre tipus referida a persones físiques identificades o identificables.
1.2. Les categories especials de dades es refereixen a aquelles que revelen circumstàncies o informació de les persones sobre la seua esfera més íntima i personal; s'inclouen de manera específica en aquestes categories les dades biomètriques i les dades genètiques. Requereixen que se'ls preste una especial atenció i s'adopten les mesures tècniques i organitzatives necessàries per a evitar que el seu tractament origine lesions en els drets i llibertats dels titulars de les dades.
Formen part d'aquesta categoria de dades personals aquelles que:
Siguen relatives a la salut.
Revelen ideologia, afiliació sindical, religió i creences.
Fan referència a l'origen racial i a la vida sexual.
Es refereixen a la comissió d'infraccions penals o administratives.
En l'àmbit educatiu és freqüent, sobretot, el tractament de dades relatives a la salut física o mental de l'alumnat, inclosa la prestació de serveis d'atenció sanitària que revelen informació sobre el seu estat de salut.
1.3. Les dades de caràcter personal són de les persones interessades: alumnat, mares i pares, tutores i tutors, professorat o personal d'administració i serveis.
Cada persona és titular de les seues respectives dades de caràcter personal.
1.4. Un fitxer és tot conjunt estructurat de dades personals, accessibles segons uns criteris determinats, ja siga centralitzat, descentralitzat, repartit de forma funcional o geogràfica.
El Reglament general de protecció de dades, des d'ara i endavant RGPD, suprimeix l'obligació de notificar els fitxers a l'Agència Espanyola de Protecció de Dades i a les autonòmiques, i se centra en les activitats del tractament.
1.5. Qualsevol activitat en què estiguen presents dades de caràcter personal constituirà un tractament de dades, ja es realitze de manera manual o automatitzada, totalment o parcialment, com la recollida, registre, organització, estructuració, conservació, adaptació o modificació, extracció, consulta, utilització, comunicació per transmissió, difusió o qualsevol altra forma d'habilitació d'accés, acarament o interconnexió, limitació, supressió o destrucció.
1.6. El responsable del tractament és la persona física que decideix sobre la finalitat, contingut i ús d'aquest, bé per decisió directa o perquè així li ve imposat per una norma legal. És per això que la responsabilitat del tractament de dades és la persona titular de la sotssecretaria de la conselleria competent en matèria d'educació.
1.7. L'encarregat del tractament és la persona física o jurídica, autoritat pública, servei o organisme que tracta dades personals per compte del responsable del tractament.
En determinats casos, els centres educatius, per a complir les seues funcions, necessiten comptar amb la col·laboració d'altres persones o entitats que no formen part de la seua organització; per exemple per al servei de menjador, servei mèdic, transport o per a la realització d'activitats extraescolars.
Aquestes persones i entitats, per a prestar els seus serveis, també tracten les dades de caràcter personal de l'alumnat i dels seus familiars o tutors, però ho fan per encàrrec del responsable del tractament, és a dir, del centre o de l'Administració educativa.
Les empreses que realitzen aquest tipus de serveis tenen, en relació amb el tractament de dades personals que realitzen, la consideració d'encarregats de tractament.
És necessari que el tractament de dades que implica la prestació del servei es regisca per un contracte que haurà d'incloure les garanties adequades.
No es consideren encarregats del tractament les persones físiques que tinguen accés a les dades personals per la seua condició d'empleats del centre o de l'Administració educativa, que són els responsables del tractament.
1.8. La cessió de dades suposa que són revelades a una persona diferent del seu titular.
Els destinataris de les dades seran les persones físiques o jurídiques, autoritats públiques, serveis o altres organismes als quals se'ls comuniquen.
No obstant això, no es consideren cessions de dades les comunicacions de les dades de l'alumnat a les empreses que tinguen la condició d'encarregats del tractament, d'acord amb el que s'indica en l'apartat anterior.
1.9. Sempre que les dades personals s'envien fora de l'àmbit de l'Espai Econòmic Europeu (EEE, constituït per tots els estats membres de la Unió Europea, més Noruega, Islàndia i Liechtenstein), es produeix una transferència internacional de dades, ja es realitze perquè el destinatari de les dades preste un servei al centre educatiu o ja perquè les tracte per a una finalitat pròpia.
2. Principis de protecció de dades
2.1. Legitimació per al tractament de dades
El tractament de dades personals ha d'estar legitimat. Per tant, es poden tractar les dades si els seus titulars presten el consentiment previ. Quan el titular de les dades és un menor d'edat, o menor d'una determinada edat establida per llei, el consentiment l'hauran de prestar els seus familiars o tutors.
El consentiment per a tractar dades personals es pot revocar en qualsevol moment, però la revocació no tindrà efecte retroactiu i se n'ha d'informar els interessats.
Però, a més del consentiment, hi ha altres possibles bases que legitimen el tractament de dades sense necessitat de comptar amb l'autorització del seu titular. La principal és la referida als supòsits en què una norma amb rang de llei autoritze el tractament o fins i tot obligue el responsable a dur-lo a terme.
També serà legítim el tractament de dades quan siga necessari per al desenvolupament i execució d'una relació jurídica entre la persona responsable i l'afectada, o per a la satisfacció d'un interés legítim del responsable sempre que aquest interés no prevalga sobre els drets i llibertats dels afectats, en particular quan aquests siguen menors.
Els centres docents estan legitimats per la Llei orgànica 2/2006, d'educació (LOE), per al tractament de les dades en l'exercici de la funció educativa. També estan legitimats per al desenvolupament i execució de la relació jurídica que es produeix amb la matriculació de l'alumne en un centre, així com pel consentiment de les persones interessades, o dels seus familiars o tutors si són menors.
2.2. Principi de qualitat de les dades
Les dades han de ser tractades de manera lícita, lleial i transparent envers el seu titular. No es poden recollir ni tractar més dades personals que les estrictament necessàries per a la finalitat perseguida en cada cas (com l'educació i orientació dels alumnes o el compliment de relacions jurídiques o, si escau, la divulgació i difusió dels centres i de les seues activitats). És a dir, han de respondre a una finalitat legítima, no es poden recollir de manera fraudulenta i la seua utilització ha de ser coneguda per les persones que en són titulars.
Les dades hauran de ser exactes i estar actualitzades. S'hauran de suprimir o actualitzar les dades que no siguen correctes.
2.3. Transparència i informació
Quan es recapten o s'obtenen les dades de les persones interessades, tot i que no calga el seu consentiment, els centres educatius han de facilitar-los informació dels aspectes següents:
de l'existència d'un fitxer o tractament de dades personals,
de la finalitat per a la qual es recapten les dades i la seua licitud; per exemple per a l'exercici de la funció educativa o per a difondre i donar a conéixer les activitats del centre,
de l'obligatorietat o no de facilitar les dades i de les conseqüències de negar-s'hi,
dels destinataris de les dades,
dels drets dels interessats i d'on exercitar-los,
de la identitat del responsable del tractament: el centre o l'Administració educativa,
de les dades de contacte del delegat de protecció de dades,
del termini de conservació de la informació.
2.4. Mesures de seguretat
Tant la conselleria competent en matèria d'educació, com a responsable dels tractaments de dades personals, com els centres educatius han d'adoptar una sèrie de mesures de seguretat, de caràcter tècnic i organitzatiu, que garantisquen la seguretat de les dades esmentades.
L'RGPD parteix de les premisses següents:
En primer lloc, relacionat amb el principi de responsabilitat activa, les persones responsables han de fer una valoració del risc dels tractaments que realitzen, a fi d'establir quines mesures s'han d'aplicar i com fer-ho.
En segon lloc, i en funció dels riscos detectats en l'anàlisi realitzada anteriorment, les persones responsables i encarregades han d'adoptar les mesures de seguretat tenint en compte:
· el cost de la tècnica
· els costos d'aplicació
· la naturalesa, abast, context i finalitats del tractament
· els riscos per als drets i llibertats
Els centres i la conselleria competent en matèria d'educació prendran mesures per a garantir que qualsevol persona que actue sota la seua autoritat i tinga accés a dades personals només puga tractar aquestes dades en l'exercici de les funcions que tinga assignades.
A més, la conselleria competent en matèria d'educació haurà de complir, si escau, els principis bàsics i requisits mínims que permeten una protecció adequada de la informació de conformitat amb el que s'estableix en l'Esquema nacional de seguretat (Reial decret 3/2010, de 8 de gener, pel qual es regula l'Esquema nacional de seguretat en l'àmbit de l'administració electrònica), així com la normativa autonòmica vigent.
2.5. Deure de secret
Totes les persones del centre que tinguen accés a dades de caràcter personal estan obligades a guardar secret sobre aquestes.
Aquest deure de secret és essencial per a garantir el dret fonamental a la protecció de dades i és d'obligat compliment per a totes les persones que presten els seus serveis en els centres i conselleria competent en matèria d'educació personal docent, personal administratiu o de serveis auxiliars, en relació amb les dades de caràcter personal a què accedisquen.
A més, el deure de secret subsisteix fins i tot una vegada finalitza la relació amb el responsable o amb l'encarregat del tractament.
2.6. Cancel·lació de dades
El temps que s'han de conservar les dades serà el que establisquen les disposicions aplicables o, si escau, les relacions contractuals entre les persones interessades i els centres educatius. Atesa la pluralitat de fitxers i finalitats per a les quals es recapten i tracten les dades, no es pot establir un determinat termini, si bé hauran de mantindre's mentre puguen ser necessàries per a l'exercici d'alguna acció per part de l'alumnat, per la qual cosa caldria definir l'abast de les responsabilitats dels centres educatius en relació amb el contingut i custòdia de les dades.
3. Tractament de dades pels centres educatius
La LOE legitima els centres a recollir dades de caràcter personal per a la funció docent i orientadora de l'alumnat en referència a:
L'origen i ambient familiar i social.
Les característiques o condicions personals.
El desenvolupament i els resultats de la seua escolarització.
Les circumstàncies el coneixement de les quals siga necessari per a educar i orientar els alumnes.
Per tant, la LOE legitima els centres educatius per a recollir i tractar les dades de l'alumnat i dels seus pares o tutors, incloent-hi també les categories especials de dades, com les de salut o de religió, quan siguen necessàries per al compliment de la funció docent i orientadora.
3.1. Tipologia de dades
3.1.1. Tractament de dades familiars de l'alumnat
Els centres educatius poden recollir la informació sobre la situació familiar de l'alumnat. Aquesta informació ha d'estar actualitzada i els progenitors han d'informar els centres sobre qualsevol modificació.
3.1.2. Recollida de dades de salut
Les dades de salut de l'alumnat han de ser sol·licitades en la mesura en què siguen necessàries per a l'exercici de la funció educativa. Es poden distingir els moments següents:
En la matriculació de l'alumnat: discapacitats, malalties cròniques, TDAH, intoleràncies alimentàries o al·lèrgies.
Durant el curs escolar: el tractament mèdic que reba un alumne o alumna a través del servei mèdic o d'infermeria que corresponga o els informes de centres sanitaris als quals se l'haja traslladat com a conseqüència d'accidents o indisposicions patides en el centre o els informes dels equips d'orientació psicopedagògica.
3.1.3. Recollida de dades biomètriques
Tenint en compte la intromissió en la intimitat de les persones que el tractament d'aquest tipus de dades pot ocasionar, l'Agència Espanyola de Protecció de Dades ha admés la utilització de l'empremta dactilar per a finalitats com el control d'accés al servei de menjador en centres escolars amb un gran nombre d'alumnes, sempre que s'adopten mesures que reforcen la confidencialitat de les dades com la conversió de l'empremta en un algorisme, el xifratge de la informació, la vinculació a una dada diferent de la identificació directa de l'alumnat o la limitació dels protocols d'accés a les dades.
Les dades biomètriques entrarien dins de les categories especials de dades.
3.1.4. Recollida de dades de l'alumnat per a l'expedient acadèmic
Entre les dades que poden recollir els centres educatius per a l'exercici de la funció docent i orientadora sense consentiment dels alumnes es poden incloure les seues fotografies a l'efecte d'identificar cada alumne en relació amb el seu expedient.
3.1.5. Recollida de dades per a altres finalitats
Els centres poden recollir dades per a altres finalitats legítimes, com pot ser la gestió de la relació jurídica derivada de la matriculació de l'alumnat, o donar a conéixer l'oferta acadèmica, participar amb l'alumnat en concursos educatius o oferir serveis esportius, d'oci o culturals. En aquests casos, es podran recollir bé com a conseqüència de la relació jurídica establida amb la matrícula o bé si hi ha consentiment previ de l'alumne o dels seus familiars.
A més, amb caràcter previ a l'obtenció del consentiment, s'ha de complir amb el dret d'informació de l'alumnat o dels seus pares, mares o tutors, quan calga.
3.2. Procediment de recollida
3.2.1. Informació a les persones interessades
Sempre s'ha d'informar les persones interessades quan s'arrepleguen les seues dades en formularis de qualsevol tipus, tal com indica l'apartat 2.3 sobre transparència i informació, mitjançant una clàusula al peu del document o formulari.
3.2.2. Comunicació de dades dels familiars al centre
La LOE estableix que els alumnes i els seus familiars hauran de col·laborar en l'obtenció de la informació necessària sense la qual no seria possible el desenvolupament de la funció educativa, i els centres estaran exempts de sol·licitar el consentiment previ en relació amb aquelles dades de caràcter personal que siguen necessàries per a aquesta finalitat.
També han de facilitar les dades necessàries per al compliment de la relació jurídica que s'estableix amb la matrícula.
3.2.3 Consentiment en la recollida de dades
El consentiment es pot incloure en el mateix imprés o formulari en què s'arrepleguen les dades.
Per a les dades que facen referència a l'origen racial, a la salut i a la vida sexual, el consentiment ha de ser exprés. Per exemple, si és un formulari en format PDF, mitjançant un camp que cal activar i que marque la persona sol·licitant, interessada o representant legal. I si les dades revelen ideologia, afiliació sindical, religió o creences, el consentiment ha de prestar-se per escrit.
3.2.4. Recollida de dades de l'alumnat per part del professorat
Sense perjudici de les dades personals recollides pels centres o la conselleria competent en matèria d'educació en matricular-se l'alumnat, i que són facilitades al professorat per a l'exercici de la funció docent, quan aquest reculla altres dades de caràcter personal com enregistraments d'imatges o so amb la finalitat d'avaluar els seus coneixements o altres dades relacionades amb la realització d'aquests exercicis, o els resultats de la seua avaluació podrien fer-ho legalment, en el marc de les instruccions, protocols o règim intern que el centre o la conselleria competent en matèria d'educació haja adoptat.
3.2.5. Recollida de dades familiars de l'alumnat per part del professorat
Les dades dels familiars dels alumnes les recapten els centres en estar legitimats per a això per la LOE. A aquesta informació podrà tindre accés el professorat si la necessita per a l'exercici de la docència.
No obstant això, si es donara alguna circumstància en la qual el professorat necessitara conéixer les dades dels familiars dels alumnes, com podria ser davant de situacions de risc, i no les tinguera, estaria igualment habilitat per a recollir-les de l'alumnat.
3.2.6. Accés al contingut de dispositius electrònics
Atesa la informació que es conté en els dispositius amb accés a internet, així com la traçabilitat que es pot realitzar de la navegació efectuada pels usuaris, l'accés al contingut d'aquests dispositius de l'alumnat, incloent-hi la seua clau, implica un accés a dades de caràcter personal que requereix el consentiment dels interessats o dels seus familiars si es tracta de menors.
No obstant això, en situacions en què puga estar present l'interés públic, com quan es pose en risc la integritat d'alguna alumna o alumne (situacions de ciberassetjament, sèxting, ciberassetjament pedòfil o violència de gènere) el centre educatiu podria, prèvia ponderació del cas i conforme al protocol que tinga establit, accedir a aquests continguts sense el consentiment de les persones implicades.
3.2.7. Utilització d'aplicacions de missatgeria per part del professorat per a comunicació amb l'alumnat
Amb caràcter general, les comunicacions entre el professorat i l'alumnat han de tindre lloc dins de l'àmbit de la funció educativa i no s'han de dur a terme a través d'aplicacions de missatgeria instantània.
Si calguera establir canals específics de comunicació, hauran d'emprar-se les eines i els mitjans establits per la conselleria competent en matèria d'educació i posats a la disposició d'alumnat i professorat o per mitjà del correu electrònic.
3.2.8. Utilització d'aplicacions de missatgeria per part del professorat per a comunicació amb familiars d'alumnes
Les comunicacions entre el professorat i els familiars d'alumnes han de dur-se a terme a través dels mitjans posats a la disposició de tots dos pel centre educatiu o la conselleria competent en matèria d'educació.
3.2.9. Enregistrament d'imatges de l'alumnat i difusió a través d'aplicacions de missatgeria instantània als familiars
No es permet l'enregistrament d'imatges com a part de l'exercici de la funció educativa de la qual és responsable el centre docent. No obstant això, en aquells casos en què l'interés superior del menor puga estar compromés, com en cas d'accidents o indisposicions en una excursió escolar, i amb la finalitat d'informar i tranquil·litzar les mares i els pares, titulars de la pàtria potestat, es podrien captar les imatges i enviar-los-les.
3.3. Publicació de dades
3.3.1. Llistats d'admesos
El centre necessita informar sobre els alumnes que han sigut admesos en la mesura en què l'admissió es realitza mitjançant un procediment de concurrència competitiva en el qual es valoren i puntuen determinades circumstàncies.
No obstant això, la publicitat haurà de fer-se de manera que no supose un accés indiscriminat a la informació; per exemple publicant la relació d'alumnes admesos en els taulers d'anuncis en l'interior del centre o en una pàgina web d'accés restringit als qui hagen sol·licitat l'admissió.
Aquesta publicació haurà de recollir només el resultat final del barem, no resultats parcials que puguen respondre a dades o informació sensible o posar de manifest la capacitat econòmica de la família.
Aquesta informació, no obstant això, estarà disponible per als interessats que exerciten el seu dret a reclamar.
Quan ja no siguen necessaris aquests llistats, cal retirar-los, sense perjudici que el centre els conserve a fi d'atendre les reclamacions que puguen plantejar-se.
3.3.2. Oposició a aparéixer publicat en un llistat d'admissió
La norma específica sobre mesures de protecció integral de violència de gènere estableix que en actuacions i procediments relacionats amb la violència de gènere es protegirà la intimitat de les víctimes; especialment les seues dades personals, les dels seus descendents i les de qualsevol altra persona que estiga sota la seua guarda o custòdia. En conseqüència, els centres educatius hauran de procedir amb especial cautela en tractar les dades dels menors que es vegen afectats per aquestes situacions.
De conformitat amb l'article 6.4 de la LOPD, un alumne o alumna, o els seus familiars, es poden oposar a la publicació de la seua admissió en un centre educatiu si s'al·leguen motius fonamentats i legítims relatius a la seua concreta situació personal, com, per exemple, raons de seguretat per ser víctima de violència de gènere o patir algun tipus d'amenaça, etc. Si és un menor, el dret l'ha d'exercir el seu tutor legal. El centre educatiu l'ha d'excloure del llistat d'admesos que es publique.
3.3.3. Publicació de beneficiaris de beques, subvencions i ajudes
La Llei de transparència i accés a la informació pública i bon govern determina l'obligació de fer pública, com a mínim, la informació relativa a les subvencions i ajudes públiques concedides per les administracions públiques amb indicació de l'import, objectiu o finalitat i dels beneficiaris.
Sense perjudici de la publicació per part de l'administració convocant, els centres escolars també podran publicar aquesta informació a l'efecte informatiu de les persones afectades.
Quan es tracte de beques i ajudes fundades en la situació de discapacitat dels beneficiaris, serà suficient amb publicar un llistat amb un número d'identificació dels beneficiaris, com el del DNI o un número identificador que s'haguera facilitat als interessats amb la sol·licitud.
Així mateix, si foren diversos els requisits a valorar, es podria donar el resultat total i no el parcial de cada un dels requisits.
Si els criteris de les ajudes no es basen en circumstàncies que impliquen el coneixement de categories especials de dades, cal valorar si, no obstant això, podrien afectar l'esfera íntima de la persona; per exemple en posar-se de manifest la seua capacitat econòmica o la seua situació de risc d'exclusió social.
En aquests casos caldria analitzar en cada cas si és necessari fer pública aquesta informació per a garantir la transparència de l'activitat relacionada amb el funcionament i control de l'actuació pública.
Igualment, quan ja no siguen necessaris aquests llistats, caldrà retirar-los.
3.3.4. Publicació en taulers d'anuncis de l'alumnat per classes i/o activitats
Per a l'organització de l'activitat docent a l'inici de cada curs els centres distribueixen l'alumnat per classes, matèries, activitats i serveis.
Per a donar a conéixer als alumnes i als seus familiars aquesta distribució, es poden col·locar aquestes relacions en els taulers d'anuncis o en les entrades de les aules durant un temps raonable per a permetre que totes les persones interessades se n'assabenten o bé a través del sistema ITACA.
3.3.5. Publicació de menús en el menjador del centre
En el menjador dels centres educatius es poden publicar els diferents menús, ja que hi pot haver alumnes amb necessitats alimentàries especials, siga per raons de salut o de religió, però no cal que hi haja un llistat amb nom i cognoms dels alumnes en relació amb el menú que correspon a cada un d'ells.
Lògicament, el centre sí que podrà disposar d'aquests llistats per a ús del servei de menjador, però sense donar-los publicitat.
3.4. Qualificacions
3.4.1. Publicació de qualificacions escolars
Les qualificacions de l'alumnat s'han de facilitar a cada alumne i als seus familiars.
En el cas de comunicar a través de plataformes educatives les qualificacions, aquestes només hauran de ser accessibles per al mateix alumne, els seus familiars o tutors, sense que puguen tindre-hi accés persones diferents.
No obstant això, sí que seria possible comunicar la situació de l'alumne en l'entorn de la seua classe; per exemple mostrant la seua qualificació respecte a la mitjana dels seus companys i companyes.
3.4.2. Comunicació oral de qualificacions a l'alumnat
Ja que no hi ha una regulació respecte de la forma de comunicar les qualificacions, seria preferible que es notificaren com s'ha indicat en el punt anterior. No obstant això, seria possible dir-les oralment, evitant comentaris addicionals que puguen afectar personalment l'alumne.
3.5. Accés a la informació de l'alumnat
3.5.1. Accés del professorat als expedients acadèmics de l'alumnat matriculat en el centre
Amb caràcter general i llevat que hi haja alguna causa degudament justificada, el professorat ha de tindre accés a l'expedient acadèmic dels alumnes als quals imparteix la docència, sense que estiga justificat accedir als expedients de la resta de l'alumnat del centre.
3.5.2. Accés del professorat a dades de salut de l'alumnat matriculat en el centre
El professorat ha de conéixer i, per tant, accedir a la informació sobre la salut dels seus alumnes que siga necessària per a la impartició de la docència, o per a garantir l'adequada atenció a l'alumnat; per exemple respecte a discapacitats auditives, físiques o psíquiques, trastorns d'atenció, TDAH o malalties cròniques.
Igualment, ha de conéixer la informació relativa a les al·lèrgies, intoleràncies alimentàries o la medicació que puguen requerir per a poder prestar l'adequada atenció a l'alumne tant en el mateix centre com en ocasió d'activitats fora del centre, com ara visites, excursions o convivències guiades per professors.
3.5.3. Sol·licitud per part dels familiars dels exàmens dels seus descendents
La sol·licitud dels familiars per a endur-se a casa els exàmens dels seus descendents i repassar-los no depén de la normativa de protecció de dades, perquè no es tracta d'un dret d'accés a les dades, sinó d'accés a documentació que, si escau, haurà de ser resolta pel centre o la conselleria competent en matèria d'educació conformement a la seua normativa interna i la legislació sectorial que hi siga aplicable.
3.5.4. Accés dels familiars a informació sobre absències escolars dels seus descendents
Les mares i pares, com a subjectes que ostenten la pàtria potestat, entre les obligacions dels quals està la d'educar-los i procurar-los una formació integral, tenen accés a la informació sobre l'absentisme escolar dels seus fills.
Si els fills són majors d'edat, igual que ocorre amb les qualificacions escolars, les mares i els pares podran ser informats de l'absentisme escolar dels seus fills majors d'edat quan es facen càrrec de les seues despeses educatives o d'alimentació, en haver-hi un interés legítim derivat del seu manteniment.
3.5.5. Sol·licitud, per part dels familiars, d'informació sobre dades de salut dels seus fills als equips d'orientació
Els familiars poden sol·licitar informació sobre dades de salut dels seus fills als equips d'orientació quan els seus fills són menors d'edat en l'exercici de la pàtria potestat, que es realitza sempre en el seu benefici.
L'accés a aquesta informació es regeix per la legislació sectorial sanitària, en concret per la Llei 41/2002, de 14 de novembre, bàsica reguladora de l'autonomia del pacient i de drets i obligacions en matèria d'informació i documentació clínica, o de la normativa que dispose la conselleria competent en matèria de salut pública.
3.5.6. Comunicació d'informació escolar de l'alumnat als seus familiars
Es pot facilitar la informació escolar d'alumnes només als familiars que n'ostenten la pàtria potestat o als tutors, mai a altres familiars, llevat que estiguen autoritzats per aquells i conste clarament aquesta autorització.
3.5.7. Accés a la informació acadèmica per pares separats
En els supòsits de pàtria potestat compartida, amb independència de qui tinga la custòdia, tots dos progenitors tenen dret a rebre la mateixa informació sobre les circumstàncies que concórreguen en el procés educatiu del menor, la qual cosa obliga els centres a garantir la duplicitat de la informació relativa al procés educatiu dels seus fills, llevat que s'aporte una resolució judicial que establisca la privació de la pàtria potestat a algun dels progenitors o algun tipus de mesura penal de prohibició de comunicació amb el menor o la seua família.
En cas de conflicte entre els progenitors sobre l'accés a la informació acadèmica dels seus fills, aquests hauran de dirimir la qüestió davant del poder judicial competent en matèria de família, no davant del centre educatiu.
3.6. Comunicacions de dades d'alumnes
La comunicació de dades requereix, amb caràcter general, el consentiment de les persones interessades, de l'alumnat o dels seus familiars o tutors si són menors, llevat que estiga legitimada per altres circumstàncies, com el fet que ho permeta o hi obligue una llei, com és cas de solucionar una urgència mèdica, o es produïsca en el marc d'una relació jurídica acceptada lliurement per ambdues parts. En aquests últims supòsits es poden comunicar les dades sense necessitat d'obtindre el consentiment de les persones afectades.
3.6.1. Comunicació de dades d'alumnes a un altre centre educatiu
En cas de trasllat, la LOE empara la comunicació de dades al nou centre educatiu en què es matricule l'alumne sense necessitat de recollir el seu consentiment o el dels seus familiars o tutors.
3.6.2. Comunicació de dades a altres centres situats en altres països
Es poden facilitar dades de l'alumnat d'un centre a un altre centre en l'estranger per a intercanvis d'alumnes o estades temporals atés que l'accés a les dades de l'alumnat seria necessari perquè el centre amb què es faça l'intercanvi puga realitzar adequadament la seua funció educativa, tenint en compte que la participació de l'alumnat en el programa haurà d'haver comptat amb la sol·licitud o autorització dels titulars de la pàtria potestat. La comunicació respondrà a l'adequat desenvolupament de la relació jurídica sol·licitada pels representants legals dels alumnes.
La transmissió haurà de limitar-se a les dades necessàries per a l'adequat desenvolupament d'aquesta acció educativa i per a la cura del menor que el centre de destinació poguera requerir.
Quan el centre destinatari de les dades es trobe en un país fora de l'Espai Econòmic Europeu, la comunicació constitueix una transferència internacional de dades.
3.6.3. Comunicació de dades a l'Administració educativa
Els centres educatius comunicaran les dades personals de l'alumnat necessàries per a l'exercici de les competències que tenen atribuïdes les administracions educatives.
3.6.4. Comunicació de dades a les forces i cossos de seguretat
Les comunicacions de dades a les forces i cossos de seguretat són obligatòries sempre que siguen necessàries per a la prevenció d'un perill real per a la seguretat pública o per a la repressió d'infraccions penals.
En tot cas, la petició que realitzen les forces i cossos de seguretat, en l'exercici de les seues competències, ha de ser concreta, específica i motivada, de manera que no hi haja una comunicació de dades indiscriminada.
Encara que es complisquen els requisits per a la comunicació de dades a les forces i cossos de seguretat, és aconsellable que el centre documente la comunicació de les dades.
Quan es tinga coneixement d'una possible situació de desprotecció d'un menor: de maltractament, de risc o de possible desemparament, s'ha de comunicar a l'autoritat o als seus agents més pròxims.
També quan es tinga coneixement de la falta d'assistència d'un menor al centre de manera habitual i sense justificació, durant el període lectiu, caldrà traslladar-ho a l'autoritat competent.
En aquests casos no cal que hi haja sol·licitud de cap autoritat o institució.
3.6.5. Comunicació de dades a serveis socials
Es poden comunicar les dades als serveis socials sempre que siga per a la determinació o tractament de situacions de risc o desemparament que siguen competència dels serveis socials. La comunicació estaria emparada en l'interés superior del menor, recollit en la Llei orgànica de protecció jurídica del menor. En aquests supòsits no cal el consentiment de les persones interessades.
3.6.6. Comunicació de dades a centres sanitaris
Es poden facilitar les dades sense consentiment de les persones interessades als centres sanitaris quan el motiu siga la prevenció o el diagnòstic mèdic, la prestació d'assistència sanitària o tractaments mèdics, o la gestió de serveis sanitaris, sempre que es realitzen per professionals sanitaris subjectes al secret professional o per altres persones subjectes a la mateixa obligació.
El centre educatiu podrà sol·licitar informació sobre l'assistència sanitària prestada si la informació és necessària per a respondre de les lesions causades com a conseqüència del normal desenvolupament de l'activitat escolar.
3.6.7. Comunicació de dades a serveis sanitaris autonòmics o ajuntaments per a campanyes de salut o vacunació
En aquests casos, els centres solen actuar com a intermediaris entre els serveis de salut i les famílies, per la qual cosa hauran de traslladar a les famílies la informació de què disposen perquè siguen elles les que presten el consentiment o faciliten les dades a aquests serveis.
No obstant això, es poden facilitar les dades de l'alumnat als serveis de salut que els requerisquen sense necessitat de disposar del consentiment dels interessats en resposta a una petició de les autoritats sanitàries quan siguen estrictament necessàries per a garantir la salut pública o si té per finalitat la realització d'actuacions de salut pública que tinguen encomanades. Com poguera ser un cas d'infecció en un centre educatiu, per a la realització d'estudis que permeten descartar la presència de la malaltia en l'entorn del centre educatiu.
3.6.8. Comunicació de dades a altres entitats externes per a activitats extraescolars
Es poden comunicar les dades a institucions, entitats o empreses que seran visitades per alumnes en una activitat extraescolar, per exemple una exposició, un museu, una fàbrica o un club esportiu; però s'ha de comptar amb el consentiment previ i inequívoc dels interessats o de les seues mares, pares o tutors quan les dades siguen comunicades per a les finalitats pròpies del teatre, museu, exposició o de la fàbrica; per exemple, el control d'entrada, d'aforament o per a les seues programacions futures.
La informació que sobre aquests esdeveniments es facilita a les mares, pares o tutors perquè els autoritzen ha d'incloure la relativa a la comunicació de dades a aquestes entitats, a més de l'autorització pròpiament dita. La comunicació, si és autoritzada, implicaria la possibilitat del tractament de les dades exclusivament per a les finalitats que s'hi han indicat, en ser aquesta necessària perquè l'alumnat puga participar en l'activitat.
3.6.9. Comunicació de dades de l'alumnat i els seus familiars a les associacions de mares i pares d'alumnes (AMPA).
No es poden comunicar dades de l'alumnat ni dels seus familiars a les AMPA sense el consentiment previ dels interessats. Les AMPA són responsables del tractament de les dades de caràcter personal que hagen recaptat i han de complir la normativa de protecció de dades en el seu tractament.
No obstant això, en el cas que les AMPA siguen contractades per a prestar un servei al centre educatiu per al qual hagen de tractar les dades de l'alumnat i de les seues mares, pares o tutors, sí que tindrien accés a les dades però en la condició d'encarregades del tractament.
4. Tractament de les imatges dels alumnes
En ocasió de la celebració d'actes escolars o d'esdeveniments en centres educatius en els quals l'alumnat i el professorat són els protagonistes, tant els familiars com el mateix centre prenen fotografies i graven vídeos en els quals es recullen les seues imatges. Aquests fets, comuns en els esdeveniments escolars, fan que es plantegen moltes qüestions sobre qui i com es poden captar les imatges, quins requisits s'han de complir, amb quina finalitat i a qui es poden comunicar.
Segons qui grave les imatges i la finalitat per a la qual es graven, caldrà observar uns requisits determinats.
Si l'enregistrament de les imatges el fa el centre escolar amb finalitats educatives, com treballs escolars o avaluacions, el centre o la conselleria competent en matèria d'educació estan legitimats per a aquest tractament sense necessitat del consentiment de l'alumnat o dels seus familiars o tutors.
Quan l'enregistrament de les imatges no es correspon amb aquesta funció educativa, sinó que es tracta d'imatges d'esdeveniments o esdeveniments que es graven habitualment amb finalitats de difusió en la revista escolar o en la web del centre, és necessari comptar amb el consentiment de les persones interessades, als quals s'haurà hagut d'informar amb anterioritat de la finalitat de l'enregistrament, especialment de si les imatges estaran accessibles de manera indiscriminada o de manera limitada a la comunitat escolar.
En cas de conflicte entre els progenitors sobre l'enregistrament de les imatges de les seues filles i fills, aquest hauran de dirimir la qüestió davant del poder judicial competent en matèria de família perquè resolga, no davant del centre docent.
D'altra banda, és molt freqüent que familiars d'alumnes prenguen fotografies i graven vídeos en esdeveniments festius, commemoratius, esportius o d'una altra índole, en els quals participa l'alumnat.
En aquests casos, l'enregistrament de les imatges sol correspondre a una activitat exclusivament personal i domèstica, és a dir, aquelles que s'inscriuen en el marc de la vida privada, familiar i d'amistat, que estan excloses de l'aplicació de la normativa de protecció de dades.
En altres ocasions no és el centre escolar el que pren les fotografies o vídeos d'alumnes ni tampoc els seus familiars, sinó que són tercers, ja siga l'empresa que presta un determinat servei, per exemple la celebració d'activitats extraescolars, o un club esportiu.
De nou cal distingir: si l'enregistrament d'imatges es realitza per encàrrec del centre educatiu, aquest haurà d'obtindre el consentiment dels alumnes o dels seus familiars o tutors; si és un tercer qui pren la fotografies o grava els vídeos per a les seues pròpies finalitats, cosa que haurà de comptar amb el consentiment previ de les persones implicades, ja l'obtinga ell mateix o a través del centre, en aquest cas s'haurà d'especificar que el tercer és el responsable del tractament.
4.1. Enregistrament d'imatges durant activitats escolars
Caldria distingir entre la presa d'imatges com a part de la funció educativa en aquest cas els centres estarien legitimats a fer-ho dels enregistraments que no respondrien a aquesta funció per exemple, la difusió del centre i de les seues activitats, per a la qual cosa s'haurà de disposar del consentiment de les persones implicades o dels seus pares o tutors.
També seria possible la presa d'imatges de l'alumnat en determinats esdeveniments realitzats en l'entorn escolar amb l'única finalitat que les mares, pares o tutors hi puguen tindre accés. Aquest accés a les imatges s'hauria de fer en un entorn segur que exigira la identificació i autenticació prèvies dels alumnes o dels seus familiars per exemple, en una àrea restringida de la intranet del centre i s'hauria de limitar a les imatges corresponents a esdeveniments en els quals l'alumne concret haja participat. En tot cas, caldria recordar als qui accedeixen a les imatges que no poden, al seu torn, divulgar-les de forma oberta.
El professorat, en el desenvolupament de la programació i ensenyament de les àrees, matèries i mòduls que tinguen encomanats, poden disposar la realització d'exercicis que impliquen l'enregistrament d'imatges, normalment del mateix alumnat, que només hauran d'estar accessibles per a l'alumnat involucrat en aquesta activitat, els seus familiars o tutors i el professorat corresponent.
És a dir, en cap cas el simple fet de realitzar l'enregistrament representa que es puga difondre de forma oberta en internet i que s'hi puga accedir de manera indiscriminada. En aquests casos, el responsable del tractament és el mateix centre o la conselleria competent en matèria d'educació.
4.2. Enregistrament i difusió d'imatges en esdeveniments organitzats i celebrats en els centres educatius
Els familiars de l'alumnat que participe en un esdeveniment obert a les famílies poden gravar imatges de l'esdeveniment sempre que es tracte d'imatges captades exclusivament per al seu ús personal i domèstic, perquè en aquest cas l'activitat està exclosa de l'aplicació de la normativa de protecció de dades.
Si les imatges captades pels familiars es volgueren difondre fora de l'àmbit privat, familiar i d'amistat, per exemple mitjançant la seua publicació en internet accessible en obert, els familiars assumirien la responsabilitat per la comunicació de les imatges a tercers i no ho podrien fer llevat que hagueren obtingut el consentiment previ dels interessats.
Seria convenient que el centre informara els familiars de la seua responsabilitat en cas que les imatges foren divulgades en els entorns oberts que s'acaben d'indicar.
Encara que uns familiars es neguen al fet que es prenguen imatges del seu fill o filla en un esdeveniment en el centre educatiu, no s'ha de cancel·lar l'esdeveniment ni prohibir-lo. S'ha d'informar els pares, mares o tutors que la presa de fotografies i vídeos és possible com a activitat familiar, exclusivament per a ús personal i domèstic, i que està exclosa de l'aplicació de la normativa de protecció de dades.
4.3. Enregistrament d'imatges d'activitats dutes a terme fora del centre escolar
L'enregistrament d'imatges fora del recinte escolar pels centres requereix el consentiment de les persones implicades, o dels pares o tutors, sempre que no es realitze en l'exercici de la funció educativa.
Si l'enregistrament el realitzen tercers, per exemple els responsables de l'empresa, museu, exposició o club esportiu que s'estiga visitant, o en el qual es desenvolupe una activitat esportiva, serà obligació d'aquests tercers disposar del consentiment de les persones implicades, que podran haver-lo obtingut a través del centre.
5. Tractament de dades en internet
5.1. Utilització de plataformes educatives
D'acord amb l'Ordre 19/2013 sobre normes sobre l'ús segur de mitjans tecnològics en l'Administració de la Generalitat, queda prohibit transmetre o allotjar informació pròpia de l'Administració de la Generalitat en sistemes d'informació externs (per exemple, en el núvol), excepte autorització expressa de la conselleria competent en matèria d'educació, que verificarà el corresponent acord de confidencialitat, i sempre amb l'anàlisi prèvia dels riscos associats a aquesta externalització.
Per tant, hauran d'emprar-se les eines educatives que pose a la disposició dels centres la conselleria competent en matèria d'educació.
5.2. Publicació de dades en la web dels centres
Habitualment, les webs dels centres educatius contenen informació referida a les seues característiques, la seua organització, les matèries que imparteix, les activitats que du a terme, els serveis que ofereix, les relacions amb altres centres, i per a això, de vegades, inclouen informació de caràcter personal sobre la direcció, el professorat i l'alumnat.
5.2.1. Publicació en la web de les dades del professorat, tutors i altres responsables del centre
Cal distingir dos supòsits:
Si es tracta d'una web en obert, caldria comptar amb el seu consentiment previ atés que es tracta d'una comunicació de dades a les quals pot accedir qualsevol persona de manera indiscriminada i no és necessària per a l'exercici de la funció educativa encomanada als centres.
Si la informació està restringida a l'alumnat del centre i als seus familiars o tutors, es pot publicar, si bé caldria informar els docents i, en cas d'incloure l'adreça de correu electrònic per a contacte, que siguen les corporatives i no les adreces personals que tinga el professorat en l'àmbit educatiu.
5.2.2. Publicació en la web de dades de l'alumnat
El centre pot publicar informació relativa a l'alumnat, com fotografies o vídeos, sempre que es dispose del consentiment de l'alumnat implicat o dels seus pares, mares o tutors.
La pàgina web del centre ha d'estar allotjada en servidors de la Generalitat Valenciana.
També podria dur-se a terme de manera que no es poguera identificar els alumnes, per exemple pixelant les imatges.
Seria possible la seua publicació quan responga a determinats esdeveniments realitzats en l'entorn escolar, amb l'única finalitat que els familiars puguen tindre-hi accés. Aquest accés hauria de dur-se a terme sempre en un entorn segur que exigisca la identificació i autenticació prèvies de l'alumnat, mares, pares o tutors per exemple en una àrea restringida de la intranet del centre, i s'hauria de limitar a la informació corresponent a esdeveniments en els quals la persona concreta haja participat. En tot cas, caldria recordar als qui accedeixen a la informació que no poden, al seu torn, divulgar-la de forma oberta.
5.2.3. Publicació en el blog de dades de l'alumnat
Com en el cas de la web, si el contingut del blog en obert del centre educatiu inclou dades que permeten la identificació de l'alumnat, es requerirà el seu consentiment o el dels seus pares, mares o tutors.
En aquests casos s'aconsella dissociar o anonimitzar les dades de l'alumnat, de manera que no se'ls puga identificar.
5.2.4 Publicació d'informació acadèmica i/o de l'alumnat en blogs del professorat
El blog del professorat és un mitjà d'informació i comunicació al marge de la funció docent que desenvolupa en els centres educatius. Del seu contingut serà responsable el docent, que haurà d'observar la normativa de protecció de dades si inclou informació de caràcter personal.
Per tant, llevat que es compte amb el consentiment de les persones afectades, o dels seus pares, mares o tutors, no es poden publicar en el blog d'un docent dades de caràcter personal que permeten identificar l'alumnat.
Igual que amb els blogs dels centres educatius, es podria publicar la informació prèvia dissociació o anonimització de les dades de l'alumnat, de manera que no se'ls puga arribar a identificar.
5.3. Publicació de dades en xarxes socials
La publicació de dades personals en xarxes socials per part dels centres educatius requereix comptar amb el consentiment inequívoc de les persones implicades, a les quals caldrà informar prèviament de manera clara de les dades que es publicaran, en quines xarxes socials, amb quina finalitat, qui pot accedir a les dades, així com de la possibilitat d'exercitar els seus drets d'accés, rectificació, cancel·lació i oposició.
L'RGPD inclou l'obligació d'informar sobre el termini durant el qual es conservaran les imatges o, si no fora possible, dels criteris per a determinar-lo.
6. Certificats del Registre central de delinqüents sexuals
Per a exercir i accedir a les professions, oficis i activitats que impliquen contacte habitual amb menors, és requisit no haver sigut condemnat per sentència ferma per algun delicte contra la llibertat i indemnitat sexual, que inclou l'agressió i abús sexual, assetjament sexual, exhibicionisme i provocació sexual, prostitució i explotació sexual i corrupció de menors, així com per tràfic d'éssers humans. A aquest efecte, qui pretenga l'accés a aquestes professions, oficis o activitats haurà d'acreditar aquesta circumstància mitjançant l'aportació d'una certificació negativa del Registre central de delinqüents sexuals.
Una vegada iniciada la relació o aportat el certificat negatiu no caldria una nova aportació o renovació periòdica d'aquest, a pesar que aquest certificat puga ser de data molt anterior.
En aquest cas, donada l'existència i permanència de la relació, podrà considerar-se que les dades objecte de conservació i tractament mantenen la seua certesa llevat que es tinga coneixement de la concurrència de noves circumstàncies que exigisquen la seua actualització, la qual cosa podrà implicar l'exigència a la persona empleada d'un nou certificat del Registre central de delinqüents sexuals per a comprovar l'exactitud de les dades.
7. Videovigilància
La instal·lació de sistemes de videovigilància amb la finalitat de garantir la seguretat de persones i instal·lacions en els centres educatius és una realitat en un important nombre de centres, i la tendència és que vaja en augment.
La implantació de càmeres de videovigilància que responga a l'interés legítim dels centres i de la conselleria competent en matèria d'educació a mantindre la seguretat i integritat de persones i instal·lacions, ha d'observar la normativa de protecció de dades personals en la mesura que implica el tractament de les dades d'alumnes, professors, familiars, etc.
Donat el caràcter intrusiu d'aquests sistemes en la intimitat de les persones, la seua instal·lació ha de respondre als criteris de necessitat, idoneïtat per a les finalitats preteses, que no es puguen aconseguir amb una mesura menys invasiva de la intimitat i proporcionalitat que oferisca més beneficis que perjudicis. Per exemple, quan el motiu per a la instal·lació d'aquests sistemes siga evitar danys materials, robatoris i furts que es poden arribar a produir, es podria limitar el seu funcionament a les hores no lectives, de manera que es minimitzara l'impacte en la privacitat de les persones.
En l'annex II es pot consultar la normativa específica sobre videovigilància.
7.1. Instal·lació de càmeres de videovigilància en totes les instal·lacions del col·legi
Donada la intromissió que suposa en la intimitat de les persones, tant de l'alumnat com del professorat i altres persones la imatge de les quals pot ser captada per les càmeres, els sistemes de videovigilància no podran instal·lar-se en lavabos, vestuaris o zones de descans de personal docent o d'altres treballadors.
7.2. Instal·lació de càmeres de videovigilància en les aules per motius de conflictivitat
La instal·lació de càmeres de videovigilància en les aules per motius de conflictivitat seria desproporcionat, perquè durant les classes ja està present un professor o professora. A més d'una intromissió en la privacitat de l'alumnat, podria suposar un control laboral desproporcionat del professorat.
Hi hauria la possibilitat que, fora de l'horari lectiu i en els supòsits de desocupació de les aules, es pogueren activar mecanismes de videovigilància amb la finalitat de protecció de l'alumnat i d'evitar danys en les instal·lacions i materials.
7.3. Instal·lació de càmeres de videovigilància als patis d'esbarjo i menjadors
Quan la instal·lació responga a la protecció de l'interés superior de les persones menors, atés que, sense perjudici d'altres actuacions com el control presencial per persones adultes, es tracta d'espais en els quals es poden produir accions que posen en risc la seua integritat física, psicològica i emocional.
7.4. Informació de l'existència d'un sistema de videovigilància
El centre ha d'informar de l'existència d'un sistema de videovigilància col·locant un distintiu en lloc prou visible en aquells espais on s'hagen instal·lat les càmeres.
També s'haurà de disposar d'una clàusula informativa que incloga els aspectes exigits per la normativa.
8. Tractament de dades per les AMPA
Les associacions de mares i pares d'alumnes (AMPA) són entitats amb personalitat jurídica pròpia que formen part de la comunitat educativa i exerceixen un paper significatiu en la vida educativa en participar en el consell escolar dels centres públics.
Per a l'exercici de les seues funcions, les AMPA solen tractar dades de caràcter personal, identificatives dels familiars d'alumnes i d'aquests, així com altres tipus de dades com poden ser les econòmiques, professionals, socials, etc.
Com a entitats amb personalitat jurídica pròpia que decideixen sobre la finalitat, ús i contingut de les dades personals a recollir dels associats i dels seus fills, les AMPA són responsables del seu tractament, per la qual cosa han de complir amb les obligacions de la normativa de protecció de dades.
8.1. Consentiment per al tractament de dades de les seues persones associades i d'alumnes
Si els pares, les mares o els tutors són associats de l'AMPA, el tractament estarà emparat per la relació que vincula l'AMPA amb els seus associats, per la qual cosa no serà necessari el consentiment dels progenitors, als quals en tot cas caldrà informar sobre el tractament que es fa de les seues dades.
Si no hi estan associats, caldria obtindre el seu consentiment.
8.2. Comunicació d'informació sobre alumnes des dels centres a les AMPA
Si no són associats, els centres educatius poden facilitar a les AMPA informació personal de contacte de l'alumnat i els seus familiars solament si els centres disposen del consentiment previ dels alumnes o dels seus pares o tutors si són menors.
Els centres podran recollir el consentiment dels interessats a aquest efecte, als quals caldrà informar de la finalitat de la comunicació de dades.
8.3. Tractament de dades de l'alumnat per part de l'AMPA
Les AMPA poden tractar les dades de l'alumnat per compte del centre educatiu només en aquells casos en què les AMPA presten un servei al centre que requerisca el tractament d'aquestes dades.
En aquests casos l'AMPA actua com un encarregat del tractament i aquest fet requereix l'existència d'un contracte que incloga les garanties adequades.
8.4. Publicació de dades de l'alumnat en la web de l'AMPA o xarxes socials
Només podran publicar continguts relatius a les dades de l'alumnat o els seus familiars en la web o xarxes socials de l'AMPA si compten amb el seu consentiment, o el dels seus pares o tutors si són menors, prèvia informació sobre la finalitat de la publicació.
9. Drets en matèria de protecció de dades
Aquests drets són els d'accés, rectificació, cancel·lació i oposició, coneguts pel seu acrònim ARCO, i es poden descriure de la manera següent:
El dret d'accés permet als titulars de les dades personals conéixer i obtindre gratuïtament informació sobre si les seues dades de caràcter personal estan sent objecte de tractament, amb quina finalitat, quin tipus de dades té el responsable del tractament, el seu origen, si no procedeixen dels interessats, i els destinataris de les dades.
El dret de rectificació permet corregir errors, modificar les dades que resulten ser inexactes o incompletes i garantir la certesa de la informació objecte de tractament.
El dret de cancel·lació permet que se suprimisquen les dades que resulten ser inadequades o excessives. La revocació del consentiment dona lloc a la cancel·lació de les dades quan el seu tractament hi estiga basat.
El dret d'oposició és el dret que té la persona interessada que, per motius relacionats amb la seua situació personal, no es duga a terme el tractament de les seues dades de caràcter personal o se cesse en aquest.
El centre té obligació de contestar a les persones interessades sempre, encara que no es dispose de les dades sobre les quals verse el dret exercitat; en aquest cas caldrà respondre en aquest sentit, informant-los del dret a presentar, si escau, una reclamació davant de l'Agència Espanyola de Protecció de Dades o al delegat de l'Oficina de Protecció de Dades de la Generalitat.
9.1. Dret d'accés
9.1.1. Obligacions
Els responsables del tractament, en el termini d'un mes, han de facilitar als interessats la informació sobre les seues dades personals o, si escau, comunicar-los que no disposen d'aquestes.
Aquesta obligació es pot complir de diverses maneres: visualització en pantalla, escrit, còpia o fotocòpia, correu electrònic o qualsevol altre sistema de comunicacions electrònic o que resulte adequat.
Si la sol·licitud d'accés es formula per mitjans electrònics, es facilitarà en un format electrònic d'ús comú, llevat que s'haja sol·licitat rebre-la d'una altra manera.
9.1.2. Diferències entre dret d'accés a dades i dret d'accés a l'expedient escolar
El dret d'accés a les dades personals és independent del dret d'accés a l'expedient, a la informació i la documentació, que es regeixen per una altra normativa. Conforme a la normativa de protecció de dades, no hi ha obligació de facilitar còpia de l'expedient escolar, sense perjudici de l'accés a la informació en el marc de la legislació sectorial.
L'RGPD estableix que el responsable del tractament facilitarà una còpia de les dades personals dels interessats que, en cap cas, afectarà negativament els drets i llibertats d'altri.
La documentació relativa a les dades de salut rep el tractament d'informació clínica, còpia de la qual s'ha de facilitar als interessats, en aplicació de la Llei 41/2002, de 14 de novembre, bàsica reguladora de l'autonomia del pacient i de drets i obligacions en matèria d'informació i documentació clínica i de la normativa autonòmica.
9.1.3. Gratuïtat del dret d'accés
La informació que es facilite ha de ser gratuïta. No obstant això, si el centre o l'Administració educativa oferira un procediment per a fer efectiu el dret d'accés i l'afectat exigira que aquest dret es materialitzara a través d'un procediment que implique un cost desproporcionat, que tinga el mateix efecte i garantisca la mateixa seguretat que el procediment oferit, les despeses derivades de la seua elecció seran per compte de l'afectat.
9.2. Dret de rectificació
Els alumnes o els seus representants legals, en el seu cas, poden sol·licitar la rectificació de les dades dels seus expedients escolars sempre que s'hi constate un error. El centre o l'Administració educativa hauran de corregir-lo sempre que s'acredite l'error. El dret es podrà exercitar tantes vegades com s'advertisquen errors.
Aquest dret de rectificació no s'aplica a les qualificacions o al contingut dels informes de l'expedient escolar, que es regeixen per la seua normativa específica.
El dret de rectificació no pot exercitar-se per a modificar un informe d'avaluació sociopsicopedagògica ja que el dret de rectificació es refereix a modificar les dades de caràcter personal que siguen inexactes o incompletes com pot ser el canvi d'adreça postal, però no es pot utilitzar per a tractar de modificar l'opinió expressada per un professional a través de l'informe corresponent, que es regeix per la seua normativa específica.
9.3. Dret de cancel·lació
9.3.1. Cancel·lació d'informació d'expedients acadèmics a sol·licitud d'alumnes, pares, mares o tutors
Sense perjudici del que estableix la normativa d'educació aplicable, la informació dels expedients acadèmics requereix la seua conservació en la mesura en què pot ser sol·licitada pels alumnes després de finalitzats els estudis.
9.3.2. Cancel·lació de dades de salut obtinguts per l'equip d'orientació educativa
Es cancel·laran quan no siguen necessàries per al desenvolupament de la funció educativa i, si escau, en finalitzar l'escolarització de l'alumne en el centre.
9.4. Dret d'oposició
9.4.1. Oposició a la publicitat de dades d'alumnes o els seus familiars
Alumnes o familiars poden oposar-se a la publicitat de les seues dades quan hi haja un motiu legítim i fundat, referit a una concreta situació personal, per a oposar-se a la publicitat de la seua informació personal. Com poguera ser el cas en què una sentència judicial haja resolt l'allunyament d'un dels progenitors o se l'haja privat de la pàtria potestat i la publicitat d'informació personal puga representar un risc per a la integritat física i psíquica de l'alumne o de l'altre progenitor.
ANNEX II
Marc normatiu
Estatal
Constitució Espanyola (articles 18.4 i 27).
Llei orgànica 15/1999, de 15 de desembre, de protecció de dades de caràcter personal (aplicable fins al 24.05.2018).
Reglament de la Llei orgànica 15/1999, de 15 de desembre, de protecció de dades de caràcter personal, aprovat pel Reial decret 1270/2007, de 23 de desembre (aplicable fins al 24.05.2018).
Instrucció 1/2006, de 8 de novembre, de l'Agència Espanyola de Protecció de Dades, sobre el tractament de dades personals amb finalitats de vigilància a través de sistemes de càmeres o càmeres de vídeo.
Llei orgànica 2/2006, de 3 de maig, d'educació.
Llei orgànica 1/1996, de 15 de gener, de protecció jurídica del menor.
Llei 41/2002, de 14 de novembre, bàsica reguladora de l'autonomia del pacient i de drets i obligacions en matèria d'informació i documentació clínica.
Europea
Conveni 108 del Consell d'Europa, de 28 de gener de 1981, per a la protecció de les persones respecte al tractament automatitzat de dades de caràcter personal i el seu protocol de l'any 2001.
Directiva 95/46/CE del Parlament Europeu i del Consell, de 24 de desembre de 1995, relativa a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades (aplicable fins al 24.05.2018).
Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades i pel qual es deroga la Directiva 95/46/CE (Reglament general de protecció de dades, aplicable a partir del 25.05.2018).
Autonòmica
Decret 66/2012, de 27 d'abril, del Consell, pel qual s'estableix la política de seguretat de la informació de la Generalitat.
Decret 130/2012, de 24 d'agost, del Consell, pel qual s'estableix l'organització de la seguretat de la informació de la Generalitat.
Ordre 19/2013, de 3 de desembre, de la Conselleria d'Hisenda i Administració Pública, per la qual s'estableixen les normes sobre l'ús segur de mitjans tecnològics en l'Administració de la Generalitat.
Ordre de 3 de desembre de 1999, de la Conselleria de Justícia i Administracions Públiques, per la qual s'aprova el Reglament tècnic de mesures de seguretat per a l'aprovació i homologació d'aplicacions i mitjans de tractament automatitzat de la informació.
Resolució de 12 de març de 2013, de la Direcció General de Centres i Personal Docent, de la Conselleria d'Educació, Cultura i Esport, per la qual es dicten instruccions en matèria de seguretat dels sistemes de videovigilància dels centres educatius públics de titularitat de la Generalitat.
Agència Espanyola de Protecció de Dades
Guia de protecció de dades en centres educatius, de l'Agència Espanyola de Protecció de Dades.
ANNEX III
Tractaments inscrits en l'Agència Espanyola de Protecció de Dades
Relació de fitxers declarats actualment per la Conselleria d'Educació, Investigació, Cultura i Esport, que apliquen directament a centres educatius:
Alumnes
Alumnes desplegat
Pràctiques formatives
Personal docent
Personal docent desplegat
Gestió patrimonial
Beques
Videovigilància
La normativa que regula la regularització dels fitxers és la següent:
Ordre de 25 d'agost de 2008, de la Conselleria d'Educació, per la qual s'inscriuen i suprimeixen fitxers de dades de caràcter personal gestionats per la Conselleria d'Educació.
Correcció d'errors de l'Ordre de 25 d'agost de 2008, de la Conselleria d'Educació, per la qual s'inscriuen i suprimeixen fitxers de dades de caràcter personal gestionats per la Conselleria d'Educació.
Ordre de 3 de juny de 2009, de la Conselleria d'Educació, per la qual s'aprova la modificació de fitxers amb dades de caràcter personal gestionats per la Conselleria.
Ordre 14/2011, de 7 d'octubre, de la Conselleria d'Educació, Formació i Ocupació, per la qual es crea el fitxer amb dades de caràcter personal de videovigilància.
ANNEX IV
Models amb exemples de registre de les activitats de tractament de dades
Es realitzarà i mantindrà un arxiu com a Registre d'activitats de tractament de dades (RAT) a la disposició de qui manifeste interés legítim en una activitat que requerisca de tractament de dades.
1. Model de registre d'activitat que no requereix consentiment
S'haurà d'adaptar el contingut de cada camp a cada cas a tractar, o al centre concret:
DENOMINACIÓ DE L'ACTIVITAT DE TRACTAMENT: Enregistrament de prova d'avaluació d'un exercici de dansa
RESPONSABLE DEL TRACTAMENT: Centre educatiu (adreça, correu electrònic)
Conselleria d'Educació, Investigació, Cultura i Esport (adreça, correu electrònic)
EXERCICI DE DRETS DAVANT: Centre (adreça, correu electrònic)
FINALITATS O USOS DEL TRACTAMENT Gestió dels expedients acadèmics de l'alumnat del centre: avaluacions, realització de treballs i exàmens, etc.
BASE JURÍDICA, LICITUD O LEGITIMACIÓ Art. 6.1.e RGPD: el tractament és necessari per al compliment d'una missió realitzada en interés públic o en l'exercici de poders públics conferits al responsable del tractament, per la qual cosa no seria necessari el consentiment.
Llei orgànica 2/2006, de 3 de maig, d'educació.
Normativa específica: decret de currículum, ordre d'avaluació.
TERMINI DE CONSERVACIÓ Es conservaran durant el temps necessari per a complir amb la finalitat per a la qual es van recollir i per a determinar les possibles responsabilitats que es pogueren derivar d'aquesta finalitat i del tractament de les dades. Serà aplicable el que es disposa en la normativa d'arxius i documentació.
TIPOLOGIA O CATEGORIES DE DADES DE CARÀCTER PERSONAL Caràcter identificatiu: nom i cognoms; NIA; grup; imatges.
Altres dades: les derivades dels treballs, exàmens i activitats avaluades.
CATEGORIES D'INTERESSATS O AFECTATS I ORIGEN DE LES DADES Alumnat del grup.
Professorat del grup.
CESSIÓ O COMUNICACIÓ DE DADES (Categoria de Destinataris) Administració educativa.
En cas de trasllat d'expedient es comunicaran les dades al centre educatiu de destinació.
En cas de programes d'intercanvi, es comunicaran les dades al centre de destinació.
TRANSFERÈNCIES INTERNACIONALS En cas de participar en un programa internacional, es comunicaran les dades al centre de destinació situat al país o estat sol·licitat per l'interessat.
MESURES DE SEGURETAT, TÈCNIQUES I ORGANITZATIVES Les mesures de seguretat implantades es corresponen amb les previstes en l'annex II (Mesures de seguretat) del Reial decret 3/2010, de 8 de gener, pel qual es regula l'Esquema nacional de seguretat en l'àmbit de l'Administració electrònica.
2. Model de registre d'activitat que sí que requereix consentiment
S'haurà d'adaptar el contingut de cada camp a cada cas a tractar, o al centre concret:
DENOMINACIÓ DE L'ACTIVITAT DE TRACTAMENT: Captació d'imatges d'activitat extraescolar amb finalitats promocionals del centre
RESPONSABLE DEL TRACTAMENT: Centre educatiu (adreça, correu electrònic)
EXERCICI DE DRETS DAVANT: Centre (adreça, correu electrònic)
Nom i adreça de l'empresa que realitza l'enregistrament de l'activitat
FINALITATS O USOS DEL TRACTAMENT Difusió per canals públics de les activitats del centre a efectes divulgatius de la seua activitat i promocionals.
BASE JURÍDICA, LICITUD O LEGITIMACIÓ Article 6.1.b del RGPD, el tractament és necessari per a l'execució d'un contracte en el qual l'interessat és part o per a l'aplicació a petició d'aquest de mesures precontractuals.
Quant a les finalitats promocionals i publicació en xarxes socials (art. 6.1.a RGPD), es requereix el consentiment de l'interessat per al tractament de les seues dades personals per a una o diverses finalitats específiques.
TERMINI DE CONSERVACIÓ Es conservaran a la disposició de la comunitat educativa durant dos cursos acadèmics. Finalitzat aqueix període, es conservaran únicament amb finalitats d'arxiu.
TIPOLOGIA O CATEGORIES DE DADES DE CARÀCTER PERSONAL Caràcter identificatiu: nom i cognoms; NIA; grup; imatges
CATEGORIES D'INTERESSATS O AFECTATS I ORIGEN DE LES DADES Alumnat del grup.
Professorat del grup.
CESSIÓ O COMUNICACIÓ DE DADES (Categoria de Destinataris) Declaració dels comptes oficials en xarxes socials, o en la web, o en blogs.
TRANSFERÈNCIES INTERNACIONALS No estan previstes transferències internacionals de dades.
MESURES DE SEGURETAT, TÈCNIQUES I ORGANITZATIVES Les mesures de seguretat implantades es corresponen amb les previstes en l'annex II (Mesures de seguretat) del Reial decret 3/2010, de 8 de gener, pel qual es regula l'Esquema nacional de seguretat en l'àmbit de l'Administració electrònica
ANNEX V
Model de sol·licitud de consentiment per a la recollida de dades
Haurà de ser adaptat per a cada centre i situació, però amb la mateixa informació que continga el Registre d'activitat de tractament (RAT) que consta en l'annex IV:
(Nom) ..., amb DNI ..., pare, mare o tutor legal de ..., en ... el dia ..., manifeste:
1. Que se m'ha informat per part dels responsables del centre educatiu ... que:
a) Es realitzarà una activitat que requereix el consentiment explícit per a la recollida de dades denominada «DENOMINACIÓ DE L'ACTIVITAT DE TRACTAMENT (vegeu RAT)».
b) Que la finalitat de l'activitat o l'ús del tractament de les dades serà «FINALITATS O USOS DEL TRACTAMENT (vegeu RAT)».
c) Que el responsable del tractament de les dades és «RESPONSABLE DEL TRACTAMENT (vegeu RAT)».
d) Els drets prevists en la normativa vigent en matèria de protecció de dades personals permeten sol·licitar l'accés a aquestes dades, la seua rectificació o supressió, limitar el tractament o oposar-s'hi per mitjà d'un escrit que acredite suficientment la identitat i que vaja dirigit a (nom del centre, adreça postal i electrònica).
e) És possible trobar més informació en el Registre de les activitats de tractament (disposar un enllaç al RAT centre i a la Conselleria, si és el cas). D'igual manera també es pot demanar una còpia del Registre d'activitats del tractament en la consergeria del centre.
2. En relació amb la informació anterior, done el meu consentiment perquè el centre puga fer ús de (imatges/dades/
) del/la menor a qui represente per a:
(Indicar l'objecte: publicació d'imatges en la web del centre, xarxes socials...)
3. En qualsevol moment es podrà retirar el consentiment anterior mitjançant escrit que acredite suficientment la identitat i dirigit a l'adreça del centre (disposar l'adreça postal del centre) o a la següent adreça de correu electrònic (adreça de correu electrònic oficial del centre @gva.es). La suspensió del consentiment no tindrà caràcter retroactiu a actuacions explícitament consentides i realitzades amb anterioritat a la data de la seua recepció.
4. Així mateix se m'ha informat sobre la possibilitat de presentar una reclamació davant l'autoritat nacional de control competent en matèria de protecció de dades (Agència Espanyola de Protecció de Dades - AEPD), especialment quan no haja obtingut resposta satisfactòria en l'exercici dels drets. I que es pot contactar amb aqueixa Agència a través del següent enllaç: www.aipd.es accedint a la pestanya «Canal del ciutadà».
I en prova de conformitat, signe el present document en el lloc i la data indicats en l'encapçalament.
Nom i cognoms:
Signatura de pare, mare o tutor
Nom i cognoms:
Signatura de l'alumna o alumne major de 14 anys.
(El Projecte de Llei orgànica de protecció de dades preveu que els majors de 14 anys puguen atorgar el consentiment excepte en supòsits on la llei exigisca l'assistència dels titulars de la pàtria potestat o tutela per a la celebració de l'acte o negoci jurídic en el context del qual es recapta el consentiment per al tractament, es recomana que el consentiment el preste tant l'alumnat com els seus representants legals)
ANNEX VI
Model de cartell d'avís per a la captació d'imatges per mares, pares o familiars
AVÍS: CAPTACIÓ D'IMATGES P
ER PARES I FAMILIARS
EL CENTRE EDUCATIU INFORMA MARES, PARES I FAMILIARS QUE CONFORME A LES RECOMANACIONS DE L'AGÈNCIA ESPANYOLA DE PROTECCIÓ DE DADES:
ES PODEN PRENDRE FOTOGRAFIES I VÍDEOS DE LES ACTIVITATS DESENVOLUPADES EN EL CENTRE.
LES IMATGES ES REALITZARAN EXCLUSIVAMENT PER AL SEU ÚS PERSONAL I DOMÈSTIC.
QUEDA PROHIBIDA LA DIFUSIÓ DE LES IMATGES FORA DE L'ÀMBIT PRIVAT, COM BLOGS O XARXES SOCIALS (FACEBOOK, INSTAGRAM, ETC.)
EL CENTRE NO ES FA RESPONSABLE DE LA CAPTACIÓ I ÚS DE LES IMATGES AMB FINALITATS PERSONALS I DOMÈSTIQUES, SENT ELS PARES I FAMILIARS ELS ÚNICS RESPONSABLES EN RELACIÓ AMB AQUESTS.
GRÀCIES PER LA SEUA ATENCIÓ