En corto. Un centro docente que ofrezca enseñanzas en cualquiera de los niveles de la legislación educativa está obligado a designar un delegado de protección de datos (DPO). Lo fija el artículo 34.1.b de la Ley Orgánica 3/2018 (LOPDGDD), que incluye también a las universidades públicas y privadas. No hace falta cumplir ningún umbral de alumnos ni demostrar «gran escala»: la obligación nace por ser centro docente. La designación se comunica a la Agencia Española de Protección de Datos (AEPD) en diez días (artículo 34.3) y los datos de contacto del DPO se publican (artículo 37.7 del RGPD). Incumplirlo es una infracción grave (artículo 73.v).

Qué dice el artículo 34 de la LOPDGDD sobre los centros docentes

El artículo 34.1 dice que los responsables y encargados del tratamiento designarán un DPO en los supuestos del artículo 37.1 del Reglamento (UE) 2016/679 (RGPD) «y, en todo caso», cuando se trate de una lista de entidades. La letra b) nombra a:

«Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.»

Tres consecuencias prácticas del texto:

La Guía para centros educativos de la AEPD lo recoge en el mismo sentido: la LOPDGDD «concreta como obligatoria para todos los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, la designación de un DPD» (apartado de conceptos básicos).

Si dudas de que tu enseñanza encaje en esos niveles, se revisa caso por caso. El artículo 34.2 permite designar un DPO de forma voluntaria aunque no estés obligado.

Qué datos trata un centro educativo y por qué son delicados

La Guía de la AEPD señala que los datos del alumnado y de sus familias son el núcleo del tratamiento, y que hay muchos menores de edad. Los tratamientos típicos de un centro son:

Los datos de salud son categoría especial del artículo 9 del RGPD, cuyo apartado 1 prohíbe tratarlos salvo que concurra una de las circunstancias del apartado 2. Eso exige que el centro sepa en qué base se apoya cada recogida y no pida más de lo necesario.

El consentimiento de los menores: la edad de catorce años

El artículo 7 de la LOPDGDD fija la edad en catorce años. Según el apartado 1, el tratamiento de los datos de un menor solo puede fundarse en su consentimiento «cuando sea mayor de catorce años», con una excepción: los supuestos en que la ley exija la asistencia de quien ejerza la patria potestad o tutela para el acto o negocio jurídico en cuyo contexto se recaba el consentimiento. Para menores de catorce años, el apartado 2 exige el consentimiento de los titulares de la patria potestad o tutela, con el alcance que ellos determinen.

La AEPD lo traslada al aula en su Guía para centros educativos: la edad para consentir «seguirá en 14 años» y, por debajo, el consentimiento lo dan padres o tutores.

Un centro no necesita consentimiento para todo. Según la Guía, puede tratar los datos necesarios para la función docente y orientadora derivada de la matrícula, y el consentimiento se reserva para finalidades distintas. Por eso cada tratamiento del registro debe indicar su base. El generador del registro de actividades de tratamiento sirve de punto de partida.

Fotos, vídeos y comunicación con las familias según la AEPD

Todo lo que sigue sale de la Guía para centros educativos de la AEPD (enlace en las fuentes).

Imágenes del alumnado

Comunicación con las familias

Videovigilancia

La Guía pide necesidad, idoneidad y proporcionalidad. No pueden instalarse cámaras en aseos, vestuarios ni zonas de descanso del personal, y las cámaras en las aulas, alegando conflictividad, se consideran desproporcionadas. El artículo 22 de la LOPDGDD añade que las imágenes se suprimen en un mes como máximo salvo que haya que conservarlas por un hecho que atente contra personas, bienes o instalaciones, y que el deber de información se cumple con un dispositivo informativo visible (artículo 22.4).

Cuándo toca una evaluación de impacto (EIPD) en un colegio

El artículo 35.1 del RGPD exige una evaluación de impacto, antes del tratamiento, cuando sea probable que un tipo de tratamiento «entrañe un alto riesgo para los derechos y libertades» de las personas. El apartado 3 cita casos en que se requiere «en particular», entre ellos el tratamiento a gran escala de categorías especiales de datos. Y el apartado 2 dice que el responsable recabará el asesoramiento del DPO si ha sido nombrado.

El texto no fija una cifra de alumnos. Se analiza cada tratamiento: qué datos, a cuántos menores, con qué tecnología y con qué riesgo. Merece análisis, por ejemplo, desplegar una plataforma nueva con perfiles de rendimiento o con datos de salud de todo el alumnado. La guía de EIPD explica el método paso a paso.

Funciones del DPO en un centro y quién puede serlo

Las funciones mínimas están en el artículo 39.1 del RGPD: informar y asesorar, supervisar el cumplimiento (incluidas la concienciación y formación del personal y las auditorías), asesorar sobre la EIPD, cooperar con la AEPD y ser su punto de contacto. El artículo 38.4 añade que las familias y el propio alumnado pueden dirigirse a él por todo lo relativo a sus datos y a sus derechos. La guía sobre qué es un DPO y sus funciones las desarrolla.

Sobre quién puede serlo, cuenta lo que dicen los artículos 37 y 38 del RGPD:

Un grupo empresarial de centros puede nombrar un único DPO si es fácilmente accesible desde cada establecimiento (artículo 37.2 del RGPD). Si dudas entre un DPO propio y uno externo, la comparativa está en DPO interno o externo. Y si prefieres externalizar, el servicio de DPO externo cubre desde la revisión inicial hasta el acompañamiento ante la AEPD.

Qué pasa si el centro no designa DPO o no lo comunica

La LOPDGDD tipifica como infracción grave no designar un DPO cuando es exigible (artículo 73.v) y no permitir su participación efectiva, no respaldarlo o interferir en sus funciones (artículo 73.w). No publicar sus datos de contacto o no comunicarlos a la autoridad es infracción leve (artículo 74.p). El artículo 83.4 del RGPD fija un máximo de 10 millones de euros o, en una empresa, el 2 % del volumen de negocio total anual global del ejercicio anterior, la cuantía que sea mayor, para las obligaciones de los artículos 25 a 39, entre ellas las del DPO.

Para los centros públicos y las universidades públicas la LOPDGDD prevé un régimen específico (artículo 77): la autoridad dicta una resolución que declara la infracción y fija las medidas para corregirla.

El procedimiento de alta se resume así: se designa al DPO, se comunica la designación, nombramiento o cese a la AEPD o a la autoridad autonómica en diez días (artículo 34.3), se publican sus datos de contacto (RGPD, artículo 37.7) y se informa a las familias de cómo contactarle. El paso a paso está en designar al DPO y comunicarlo a la AEPD.

Una lista para empezar en tu centro

  1. Confirma que eres centro docente del artículo 34.1.b o universidad. Si no, valora un DPO voluntario (artículo 34.2).
  2. Designa al DPO por escrito y comunica la designación en diez días.
  3. Haz el registro de actividades de tratamiento: matrícula, salud, imágenes, plataformas, videovigilancia y proveedores.
  4. Revisa los contratos con los proveedores que tratan datos por cuenta del centro: el artículo 28 del RGPD exige un contrato de encargado.
  5. Prepara el modelo de autorización de imágenes y define el canal con las familias.
  6. Ten un protocolo de brechas: el artículo 33.1 del RGPD obliga a notificar a la AEPD sin dilación indebida y, de ser posible, en un máximo de 72 horas. La herramienta de brechas ayuda a decidir.
  7. Analiza qué tratamientos requieren una EIPD.

Todo el mapa del tema está en el hub de protección de datos. Si además tu centro maneja seguridad de la información de forma amplia, la guía ENS en centros educativos cubre el otro marco que puede afectarte.

¿Quieres que revisemos juntos qué te falta? Reserva una consulta y lo vemos con los datos de tu centro.

Preguntas frecuentes

¿Es obligatorio tener un DPO en un colegio?

Sí. El artículo 34.1.b de la LOPDGDD obliga a designar un DPO a los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles de la legislación educativa y a las universidades públicas y privadas. La obligación se cumple por la actividad del centro, sin umbral de alumnos.

¿Hay que comunicar el DPO de un colegio a la AEPD?

Sí. El artículo 34.3 de la LOPDGDD da diez días para comunicar a la AEPD, o a la autoridad autonómica que corresponda, la designación, el nombramiento y el cese, y el artículo 37.7 del RGPD obliga además a publicar sus datos de contacto.

¿A qué edad pueden los alumnos dar su consentimiento?

A los catorce años. El artículo 7.1 de la LOPDGDD permite fundar el tratamiento en el consentimiento del menor cuando es mayor de catorce, con la excepción de los actos en que la ley exige asistencia de los titulares de la patria potestad o tutela. Por debajo de esa edad hace falta el consentimiento de los padres o tutores (artículo 7.2).

¿Puede el colegio publicar fotos de los alumnos en su web?

Si la finalidad es difundir las actividades del centro, la AEPD indica en su Guía que hace falta el consentimiento de los interesados, o de sus padres o tutores, tras informarles de la finalidad y de si las imágenes serán accesibles de forma indiscriminada. La Guía recomienda publicarlas en un espacio privado con identificación y contraseña.

¿Se puede usar WhatsApp para hablar con las familias?

La AEPD no lo recomienda y aconseja usar los medios que ofrece el centro, como plataformas educativas o el correo del centro. Admite la mensajería en casos en que el interés superior del menor esté comprometido, como un accidente en una excursión, para informar a los padres.

Fuentes

Herramientas gratuitas relacionadas

Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.

Generador de RAT · art. 30 RGPD →Genera tu registro de actividades de tratamiento pre-rellenado por actividad, editable e imprimible.Brecha de datos: ¿notificar a la AEPD? →Comprueba si debes notificar en 72 horas, comunicar a los afectados y qué documentar.Simulador de sanciones RGPD →Estima de forma orientativa tu exposición a multas del RGPD.