Plataformas Educativas Digitales

Tratamiento de datos personales en plataformas educativas

Las plataformas educativas son herramientas que permiten al alumnado y al profesorado interactuar y colaborar en línea. Estas plataformas recopilan y procesan datos personales del alumnado, profesorado, padres, madres o tutores legales, tales como sus nombres, direcciones de correo electrónico, teléfonos, etc.

 

 

El tratamiento de datos tiene como finalidad proporcionar los servicios de la plataforma, tales como la gestión de las clases, la evaluación del alumnado, la comunicación entre profesorado y alumnado, etc.

Tipos de datos personales tratados en plataformas educativas

Estas plataformas suelen manejar una amplia variedad de información personal, incluyendo nombres, direcciones de correo electrónico, números de teléfono y otros datos identificativos del alumnado, profesorado, y en algunos casos, padres, madres o tutores legales, incluso datos sensibles relacionados con el rendimiento académico o necesidades educativas especiales. Igualmente, es habitual que almacenen y procesen documentos educativos, hojas de cálculo y material audiovisual.

 

Por otra parte, las plataformas también podrían recopilar datos personales relacionados con la utilización de los servicios ofrecidos por la misma. Entre ellos se encuentran la actividad o interacción con el contenido o personas dentro de la plataforma, la configuración de aplicaciones, navegadores o dispositivos, el sistema operativo empleado, la dirección IP, reportes de fallos o información sobre la ubicación.

 

En estas plataformas no se podrán tratar datos de categorías especiales recogidas en el artículo 9.1 del RGPD, salvo que se dé alguna de las circunstancias recogidas en el artículo 9.2 del RGPD. 

 

Se podrán tratar datos personales y en particular de menores de 14 años en la plataforma educativa, siempre que se cumplan los requisitos establecidos en el RGPD y la LOPDGDD.

Bases legitimadoras para el tratamiento de datos personales en plataformas educativas

Pueden contemplarse dos bases legitimadoras para el tratamiento de datos personales por parte de los centros educativos en plataformas educativas:

• La realización de una misión realizada en interés público o en el ejercicio de poderes públicos, para funciones educativas, docentes y orientadoras según la LOE. Únicamente legitimará el tratamiento de datos personales directamente relacionados con las referidas funciones. 

• El consentimiento del interesado, o de sus progenitores o tutores en su caso. Será necesario para cualquier otro tratamiento adicional, como podrían ser servicios, aplicaciones o complementos adicionales que no fueran estrictamente necesarios para las funciones educativas.

Ejercicio del derecho de oposición

Cuando la base legitimadora del centro para usar la plataforma educativa sea el cumplimiento de una misión realizada en interés público cabe el derecho de oposición del interesado.

 

Al recibir solicitudes de ejercicio del derecho de oposición, se deberá realizar una ponderación entre la importancia del uso de la plataforma y su impacto en los interesados, para determinar si existen motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, derechos y libertades del interesado. 

 

En el caso de que, como consecuencia del ejercicio del derecho de oposición con los requisitos manifestados, se permitiese a una determinada persona dejar de emplear la plataforma, la administración educativa y el centro deberán adoptar las medidas oportunas para que ésta no sufriera situaciones de discriminación o agravio comparativo en el disfrute de los servicios educativos y de orientación.

Información a los interesados sobre el tratamiento de sus datos en la plataforma

Las personas deben comprender claramente cuándo se recogen sus datos personales y cómo serán tratados, incluidos los tratamientos realizados en las plataformas educativas digitales.

 

La información debe proporcionarse en el momento de la recogida de los datos en caso de que se obtenga directamente de los interesados, de forma accesible y fácil de entender, utilizando un lenguaje sencillo y claro.

 

Existen múltiples opciones válidas al respecto, como suministrar la información en el propio formulario de matriculación, a través de la aplicación móvil corporativa de comunicación con los miembros de la comunidad educativa o mediante la publicación de avisos en el sitio web de la institución, comunicaciones por correo electrónico o reuniones informativas.

Servicios, aplicaciones o complementos adicionales

Las plataformas educativas pueden incluir el acceso a servicios, aplicaciones o complementos adicionales, ofrecidos por la misma empresa proveedora de la plataforma o por terceras proveedoras que pasan en tal caso a ser la responsable del tratamiento de los datos personales, al tratar estos para sus propios fines. Por tanto, si se desea hacer uso de dichos servicios, aplicaciones o complementos, cada usuario deberá prestar su consentimiento aceptando los términos y condiciones de la empresa proveedora.

Contenido fotográfico y audiovisual

En las plataformas educativas digitales es común el tratamiento de material fotográfico y audiovisual, incluyendo grabaciones de clases, proyectos del alumnado o eventos escolares.

 

El contenido fotográfico y audiovisual que se recopila en plataformas educativas debe ser adecuado, pertinente y limitado a la finalidad del tratamiento.

 

Si el tratamiento de imágenes es necesario para el ejercicio de la función educativa y orientadora, no se requerirá consentimiento para el tratamiento de imágenes. Para otras finalidades distintas, sí será necesario contar con el consentimiento.

 

Deberán establecerse protocolos de uso y verificación por parte del responsable del tratamiento, para aplicar de forma efectiva los principios de protección de datos personales, asegurando que solo se traten los necesarios para cada fin específico del tratamiento. Es igualmente recomendable incluir previsiones para evitar el almacenamiento en la plataforma de imágenes, videos o audio denigrantes, violentos o contrarios a la convivencia.

Transferencias internacionales

Las plataformas educativas digitales operan principalmente a través de servicios en la nube y pueden implicar transferencias de datos personales a terceros países.

 

Antes de poner en marcha la plataforma es necesario analizar detenidamente las transferencias de datos personales que tendrán lugar en función de la solución tecnológica empleada y, siempre que sea posible, optar por la opción que garantice que los datos personales serán tratados dentro del Espacio Económico Europeo.

 

Encargados del tratamiento

 

Un responsable del tratamiento sólo debe trabajar con encargados del tratamiento que proporcionen garantías de disponer de medidas técnicas y organizativas apropiadas que sean conformes con los requisitos del RGPD. Por ello, únicamente se deben emplear plataformas que hayan sido aprobadas por la Consejería competente en materia educativa mediante contrato, convenio o acto jurídico suscrito con el correspondiente encargado de tratamiento cumpliendo con las exigencias de la normativa en protección de datos.

 

Los encargados del tratamiento de datos personales en plataformas educativas deben cumplir, entre otras, con las siguientes obligaciones:

• No tratar los datos para fines propios sin consentimiento de los interesados (por ejemplo, mejora de los servicios, publicidad, perfilado, etc).

• No comunicar datos a terceros (excepto en los casos previstos por ley).

• Almacenar y tratar los datos personales en servidores ubicados en países del EEE o con plena sujeción a las obligaciones sobre transferencias internacionales establecidas en el RGPD en el resto de casos.

• Cumplir con los requisitos de seguridad establecidos en el Esquema Nacional de Seguridad.

• Informar al responsable sobre una prevista incorporación o sustitución de subencargados, de forma que este pueda oponerse a dicha contratación. Deben evitarse condiciones en las que el responsable no pudiera decidir libremente oponerse a un concreto subencargado.

• Efectuar un riguroso control de sus relaciones con los subencargados y del cumplimiento del RGPD por estos últimos.