RGPD i privacitat per a acadèmies i centres formatius: guia pràctica sense ensurts
El RGPD no és la casella que apareix al final d’una inscripció. És decidir quines dades demanes, per a què les utilitzes, qui les pot veure i què fas quan algú et diu: “vull que esborris les meves dades”.
Una acadèmia sol guardar molt més que un nom i un telèfon. Pot tenir dades d’alumnes, tutors, quotes, nivells, assistència, imatges, documents, comunicacions i fins i tot informació especialment delicada en determinats casos.
El problema apareix quan tota aquesta informació creix per acumulació: “això ho demanem perquè sempre ho hem demanat”, “aquest Excel també el té recepció” o “aquella autorització era al formulari de l’any passat”. El RGPD obliga justament al contrari: saber què tens, per què ho tens i limitar-ho al necessari. L’AEPD defineix la protecció de dades per defecte com un tractament mínimament intrusiu: mínima quantitat de dades, mínim abast, mínim termini de conservació i mínima accessibilitat.
La privacitat es decideix en tres moments
No comença quan redactes la política de privacitat. Comença quan decideixes demanar una dada.
Quan la reculls
Realment necessites aquesta dada? Has informat per a què s’utilitzarà? La persona entén què està acceptant?
Mentre la utilitzes
Només hi accedeix qui ho necessita? S’utilitza per a la finalitat informada o ha acabat circulant per altres canals?
Quan deixa de fer falta
Hi ha un criteri de conservació? Saps què has de mantenir per obligació i què ja no té sentit conservar?
Si no saps per a què serveix una dada, probablement pesa massa
Pensa en cada formulari com una motxilla: cada camp que afegeixes és alguna cosa que després hauràs de custodiar.
“Si tinc un consentiment, ja puc utilitzar les dades”
No exactament. I aquesta confusió provoca formularis plens de caselles que intenten resoldre-ho tot.
Tot necessita consentiment
El consentiment és una de les bases jurídiques del RGPD, però no és l’única. També existeixen, entre d’altres, la relació contractual, una obligació legal o determinats interessos legítims.
Cada ús necessita una base clara
El més important és identificar per què pots tractar aquestes dades i explicar-ho. Si utilitzes consentiment, ha de ser lliure, informat, inequívoc, revocable i demostrable; una casella premarcada no és vàlida.
L’AEPD recomana, a més, informar per capes: una primera explicació breu i comprensible en el moment de recollir les dades, amb accés a una segona capa més detallada. No cal convertir el formulari en una paret de text per informar correctament.
El “tinc permís de la mare” mereix una segona mirada
Especialment en acadèmies d’idiomes, música, dansa o reforç on bona part de l’alumnat és menor.
El consentiment no es pot donar per suposat
Quan el tractament es basa en el consentiment, ha de constar el de qui exerceix la pàtria potestat o tutela. Primer, això sí, cal comprovar quina és la base jurídica aplicable.
Pot consentir, amb matisos
Com a regla general en protecció de dades, pot prestar el seu consentiment a partir dels 14 anys, excepte en situacions en què una altra norma exigeixi assistència de pares o tutors.
Tutors i consentiments queden dins del mateix flux
Els formularis demanen per defecte dades de tutors per a menors i permeten configurar consentiments legals, drets d’imatge i preferències de comunicació.
Quatre situacions que semblen petites fins que deixen de ser-ho
“Tenim autorització per a l’activitat, així que podem pujar les fotos.”
Participar en una classe i publicar una imatge en obert no són automàticament la mateixa finalitat. Si la base és el consentiment, ha de cobrir específicament aquest ús.
“És alumne, així que l’afegim a tots els enviaments.”
Les comunicacions necessàries per prestar el servei i els missatges promocionals no han de compartir necessàriament la mateixa base jurídica.
“Només és un Excel intern.”
Intern no significa lliure de risc. Importa qui el pot obrir, on es guarda, quant de temps es conserva i si realment necessita totes aquestes columnes.
“Tothom necessita accés a tota la fitxa.”
Normalment no. Un professor pot necessitar dades acadèmiques o d’assistència sense necessitar informació bancària, administrativa o d’altres grups.
La pregunta no és “qui té la contrasenya?”, sinó “qui necessita veure això?”
La minimització també s’aplica a l’accessibilitat de les dades.
“Vull saber quines dades teniu sobre mi” no hauria de convertir-se en una recerca arqueològica
El RGPD reconeix drets que el centre ha de poder atendre de manera organitzada.
Entre ells hi ha accés, rectificació, supressió, oposició, limitació i portabilitat. Com a regla general, les sol·licituds s’han de respondre en un mes, encara que el termini es pot ampliar en determinats casos per complexitat o volum.
Has enviat l’arxiu equivocat al grup equivocat. I ara què?
Una bretxa no sempre és un “hackeig”. També pot ser una pèrdua, un accés indegut o una comunicació accidental.
No comencis buscant a qui donar la culpa.
Comença contenint l’incident i entenent què ha passat. El responsable ha de documentar les bretxes i valorar el risc per a les persones afectades.
Si la bretxa pot implicar un alt risc per a les persones, també pot ser necessari comunicar-la als afectats sense dilació indeguda. La clau no és el dany reputacional del centre, sinó el risc que l’incident crea per a les persones.
Com d’ordenada està la privacitat de la teva acadèmia?
No substitueix una auditoria jurídica. Sí que serveix per localitzar ràpidament on mirar primer.
Semàfor RGPD
Respon pensant en com funciona avui el teu centre, no en com hauria de funcionar.
La privacitat millora quan el sistema deixa rastre
No perquè una plataforma “faci el RGPD per tu”, sinó perquè ajuda a fer que determinades decisions siguin demostrables i operatives.
Privacitat integrada en el dia a dia de l’acadèmia
Con Playoff per a acadèmies i centres formatius, formularis, consentiments, alumnes, tutors i comunicacions es poden mantenir dins del mateix recorregut operatiu.
- Recull només el necessari. Configura camps visibles, editables i obligatoris.
- Deixa evidència. Conserva la data, hora i versió històrica dels consentiments acceptats.
- Diferencia permisos. Evita que tots els perfils necessitin accés a tota la informació.
- Mantén el context. Les dades i la documentació romanen vinculades a la fitxa corresponent.
Puedes ampliar la parte operativa en la configuració de formularis, los formularis de contactes de correu electrònic y la configuració d’identitat i accés.
Prova Playoff 15 dies gratis i revisa com encaixa la privacitat dins del circuit real de la teva acadèmia.
Dubtes habituals sobre RGPD i privacitat en acadèmies
Una acadèmia necessita consentiment per tractar totes les dades dels seus alumnes?
No. El consentiment és una de les bases jurídiques possibles, però n’hi ha d’altres com la relació contractual, determinades obligacions legals o l’interès legítim quan correspongui. Cada tractament s’ha de basar en una base jurídica identificada.
A partir de quina edat pot un menor consentir el tractament de les seves dades?
A Espanya, quan el tractament es basa en consentiment, la regla general permet que el menor el presti a partir dels 14 anys. Per sota d’aquesta edat ha de constar el consentiment de qui exerceix la pàtria potestat o tutela, excepte altres supòsits legals.
Puc publicar fotos d’alumnes a les xarxes socials?
La publicació d’imatges identificables és un tractament de dades que ha de comptar amb una base jurídica adequada. Quan s’utilitza el consentiment, aquest ha de cobrir específicament aquest ús i ser demostrable.
Quant de temps tinc per respondre a una sol·licitud d’accés o supressió?
Com a regla general, el responsable ha de respondre en un mes. El termini es pot ampliar dos mesos més quan sigui necessari per la complexitat o el nombre de sol·licituds, informant-ne dins del primer mes.
Totes les acadèmies necessiten un delegat de protecció de dades?
No automàticament pel fet d’anomenar-se acadèmia. La LOPDGDD exigeix DPD, entre altres supòsits, als centres docents que ofereixen ensenyaments en nivells establerts per la legislació educativa. Un centre privat de formació no reglada ha d’analitzar si encaixa en algun dels supòsits legals de designació obligatòria.
Una bretxa de dades s’ha de notificar sempre a l’AEPD?
No sempre. S’ha de notificar quan sigui probable que suposi un risc per als drets i llibertats de les persones. En aquests casos la notificació s’ha de fer sense dilació indeguda i, quan sigui possible, dins de les 72 hores des que el responsable en té constància.
