RGPD y privacidad para academias y centros formativos: guía práctica sin sustos
El RGPD no es el checkbox que aparece al final de una inscripción. Es decidir qué datos pides, para qué los usas, quién puede verlos y qué haces cuando alguien te dice: “quiero que borres mis datos”.
Una academia suele guardar mucho más que un nombre y un teléfono. Puede tener datos de alumnos, tutores, cuotas, niveles, asistencia, imágenes, documentos, comunicaciones e incluso información especialmente delicada en determinados casos.
El problema aparece cuando toda esa información crece por acumulación: “esto lo pedimos porque siempre lo hemos pedido”, “este Excel también lo tiene recepción” o “esa autorización estaba en el formulario del año pasado”. El RGPD obliga justo a lo contrario: saber qué tienes, por qué lo tienes y limitarlo a lo necesario. La AEPD define la protección de datos por defecto como un tratamiento mínimamente intrusivo: mínima cantidad de datos, mínimo alcance, mínimo plazo de conservación y mínima accesibilidad.
La privacidad se juega en tres momentos
No empieza cuando redactas la política de privacidad. Empieza cuando decides pedir un dato.
Cuando lo recoges
¿Necesitas realmente ese dato? ¿Has informado para qué se utilizará? ¿La persona entiende qué está aceptando?
Mientras lo utilizas
¿Solo accede quien lo necesita? ¿Se utiliza para la finalidad informada o ha terminado circulando por otros canales?
Cuando deja de hacer falta
¿Existe un criterio de conservación? ¿Sabes qué debes mantener por obligación y qué ya no tiene sentido conservar?
Si no sabes para qué sirve un dato, probablemente pesa de más
Piensa en cada formulario como una mochila: cada campo que añades es algo que tendrás que custodiar después.
“Si tengo un consentimiento, ya puedo usar los datos”
No exactamente. Y esta confusión provoca formularios llenos de casillas que intentan resolverlo todo.
Todo necesita consentimiento
El consentimiento es una de las bases jurídicas del RGPD, pero no es la única. También existen, entre otras, la relación contractual, una obligación legal o determinados intereses legítimos.
Cada uso necesita una base clara
Lo importante es identificar por qué puedes tratar esos datos y explicarlo. Si utilizas consentimiento, debe ser libre, informado, inequívoco, revocable y demostrable; una casilla premarcada no vale.
La AEPD recomienda además informar por capas: una primera explicación breve y comprensible en el momento de recoger los datos, con acceso a una segunda capa más detallada. No hace falta convertir el formulario en una pared de texto para informar correctamente.
El “tengo permiso de la madre” merece una segunda mirada
Especialmente en academias de idiomas, música, danza o refuerzo donde buena parte del alumnado es menor.
El consentimiento no puede darse por supuesto
Cuando el tratamiento se basa en consentimiento, debe constar el de quienes ejercen la patria potestad o tutela. Primero, eso sí, hay que comprobar cuál es la base jurídica aplicable.
Puede consentir, con matices
Como regla general en protección de datos, puede prestar su consentimiento a partir de los 14 años, salvo situaciones en las que otra norma exija asistencia de padres o tutores.
Tutores y consentimientos quedan dentro del mismo flujo
Los formularios piden por defecto datos de tutores para menores y permiten configurar consentimientos legales, derechos de imagen y preferencias de comunicación.
Cuatro situaciones que parecen pequeñas hasta que no lo son
“Tenemos autorización para la actividad, así que podemos subir las fotos.”
Participar en una clase y publicar una imagen en abierto no son automáticamente la misma finalidad. Si la base es el consentimiento, debe cubrir específicamente ese uso.
“Es alumno, así que lo añadimos a todos los envíos.”
Las comunicaciones necesarias para prestar el servicio y los mensajes promocionales no tienen por qué compartir la misma base jurídica.
“Solo es un Excel interno.”
Interno no significa libre de riesgo. Importa quién puede abrirlo, dónde se guarda, cuánto tiempo se conserva y si realmente necesita todas esas columnas.
“Todos necesitan acceso a toda la ficha.”
Normalmente no. Un profesor puede necesitar datos académicos o de asistencia sin necesitar información bancaria, administrativa o de otros grupos.
La pregunta no es “¿quién tiene la contraseña?”, sino “¿quién necesita ver esto?”
La minimización también se aplica a la accesibilidad de los datos.
“Quiero saber qué datos tenéis sobre mí” no debería convertirse en una búsqueda arqueológica
El RGPD reconoce derechos que el centro debe poder atender de forma organizada.
Entre ellos están acceso, rectificación, supresión, oposición, limitación y portabilidad. Como regla general, las solicitudes deben responderse en un mes, aunque el plazo puede ampliarse en determinados casos por complejidad o volumen.
Has enviado el archivo equivocado al grupo equivocado. ¿Ahora qué?
Una brecha no siempre es un “hackeo”. También puede ser una pérdida, un acceso indebido o una comunicación accidental.
No empieces por buscar a quién echar la culpa.
Empieza por contener el incidente y entender qué ha ocurrido. El responsable debe documentar las brechas y valorar el riesgo para las personas afectadas.
Si la brecha puede implicar un alto riesgo para las personas, también puede ser necesario comunicarla a los afectados sin dilación indebida. La clave no es el daño reputacional del centro, sino el riesgo que el incidente crea para las personas.
¿Cómo de ordenada está la privacidad de tu academia?
No sustituye una auditoría jurídica. Sí sirve para localizar rápidamente dónde mirar primero.
Semáforo RGPD
Responde pensando en cómo funciona hoy tu centro, no en cómo debería funcionar.
La privacidad mejora cuando el sistema deja rastro
No porque una plataforma “haga el RGPD por ti”, sino porque ayuda a que determinadas decisiones sean demostrables y operativas.
Privacidad integrada en el día a día de la academia
Con Playoff para academias y centros formativos, formularios, consentimientos, alumnos, tutores y comunicaciones pueden mantenerse dentro del mismo recorrido operativo.
- Recoge solo lo necesario. Configura campos visibles, editables y obligatorios.
- Deja evidencia. Conserva la fecha, hora y versión histórica de los consentimientos aceptados.
- Diferencia permisos. Evita que todos los perfiles necesiten acceso a toda la información.
- Mantén el contexto. Datos y documentación permanecen vinculados a la ficha correspondiente.
Puedes ampliar la parte operativa en la configuración de formularios, los formularios de contactos de email y la configuración de identidad y acceso.
Prueba Playoff 15 días gratis y revisa cómo encaja la privacidad dentro del circuito real de tu academia.
Dudas habituales sobre RGPD y privacidad en academias
¿Una academia necesita consentimiento para tratar todos los datos de sus alumnos?
No. El consentimiento es una de las bases jurídicas posibles, pero existen otras como la relación contractual, determinadas obligaciones legales o el interés legítimo cuando proceda. Cada tratamiento debe apoyarse en una base jurídica identificada.
¿A partir de qué edad puede un menor consentir el tratamiento de sus datos?
En España, cuando el tratamiento se basa en consentimiento, la regla general permite que el menor lo preste a partir de los 14 años. Por debajo de esa edad debe constar el consentimiento de quien ejerce la patria potestad o tutela, salvo otros supuestos legales.
¿Puedo publicar fotos de alumnos en redes sociales?
La publicación de imágenes identificables es un tratamiento de datos que debe contar con una base jurídica adecuada. Cuando se utiliza el consentimiento, este debe cubrir específicamente ese uso y ser demostrable.
¿Cuánto tiempo tengo para responder a una solicitud de acceso o supresión?
Como regla general, el responsable debe responder en un mes. El plazo puede ampliarse otros dos meses cuando sea necesario por la complejidad o el número de solicitudes, informando de ello dentro del primer mes.
¿Todas las academias necesitan un delegado de protección de datos?
No automáticamente por llamarse academia. La LOPDGDD exige DPD, entre otros supuestos, a centros docentes que ofrezcan enseñanzas en niveles establecidos por la legislación educativa. Un centro privado de formación no reglada debe analizar si encaja en alguno de los supuestos legales de designación obligatoria.
¿Una brecha de datos debe notificarse siempre a la AEPD?
No siempre. Debe notificarse cuando sea probable que suponga un riesgo para los derechos y libertades de las personas. En esos casos la notificación debe realizarse sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde que el responsable tiene constancia.
